昨年1年間のインターネットバンキングの不正送金被害が、過去最悪だった前年を上回り30億円を超えたことが3日、警察庁のまとめでわかった。国内初のSMSを使って偽サイトに誘導する手口も確認された。
同庁の発表によると、昨年1年間に発生した不正送金被害は1495件と、前年の1876件から20％減ったが、被害額は約30億7300万円と、前年の約29億1000万円を6％上回る過去最悪の結果になった。特に信用金庫の法人口座被害が急増しているという。
マルウェア（ウイルス）やフィッシングによるネットバンキングの不正送金被害は、国内犯によるものが2005年から問題化しており、2007年に最初のピークを迎える。その後しばらく沈静化していたが、海外からの攻撃が2011年に激化し、この年から同庁が被害状況をまとめるようになった。この年の被害は、165件（3億800万円）。多くはマルウェアよるものだったが、フィッシングによる被害もあった。
翌2012年は減少に転じたが、2013年に再び激化。被害は、2012年の64件（4800万円）から、2013年の1315件（14億600万円）へと、これまでにない急激な拡大を見せた。2013年末から2014年初頭にかけて、被害はピークを迎える。個人口座に集中していた被害が法人口座にも波及し、フィッシングが盛んに行われるようになったのもこの頃から。被害件数、被害額ともに、2014年は過去最高を記録した。
その後、被害はピークが過ぎ減少傾向にあったが、昨年初頭から再び増加に転じ、前年を上回る最悪の被害額を記録する結果となった。バンキングマルウェアに感染させようとするなりすましメールや不正な広告、改ざんサイト、偽サイトへと誘導するフィッシングメールなどが多数報告されており、電話番号宛に短文を送るSMS（ショート・メッセージ・サービス）を使って偽サイトに誘導するフィッシングが、国内で初めて確認された。
これら攻撃は、今年に入ってからも続いており、気を緩めることのできない状況が続いている。ネットバンキング側が提供しているセキュリティ対策を積極的に利用するとともに、「システムやアプリを常に最新の状態にする」「セキュリティソフトを導入する」「メールやWebサイトの不自然さを察知し騙されないよう行動する」といった、ユーザー自身による基本的なマルウェア対策やフィッシング対策を実施し、被害にあわないようにしていただきたい。
■不正送金を防ぐ口座のセキュリティ対策
同庁の発表では、不正送金被害を受けた口座のセキュリティ対策実施状況として、個人口座向けに提供されているワンタイムパスワードと、法人口座向けの電子証明書の利用状況がまとめられている。
ワンタイムパスワードは、個人の被害口座1222件中118件（9.7％）が利用していたが、916件（75.0％）は利用していなかったという。電子証明書は、法人の被害口座273件中47件（17.2％）が利用していたが、185件（67.8％）は利用していなかったという。
全体の利用状況と比較しないと効果の程が確かめられないが、ID/パスワードを盗んだ後、それを使ってアカウントにログインして口座を操作するオーソドックスな不正送金は、これらの利用で確実に防ぐことができる。
金融庁の昨年3月時点のまとめでは、個人向けネットバンキングの96.9％、法人向けの91.7％がワンタイムパスワードを導入している。法人向けはやや低いが、電子証明書を含めば97.7％が導入済みだ。ただし、こうした対策を利用するためには、事前に申し込みや設定が必要なことが多い。この機会にご利用の口座を点検し、未使用の場合はぜひ利用するようにしたい。
■知っておきたい「ワンタイムパスワード」の種類と弱点
個人の口座の9.7％はワンタイムパスワードを、法人口座の17.2％は、電子証明書を利用していたにもかかわらず、被害が発生している。これら対策を実施していても防げないことがあるのだ。
認証のたびに異なるパスワード（暗証番号）を使用するワンタイムパスワードには、あらかじめ配布した数字の書かれた表の中から、特定の場所の数字を入力させる「乱数表方式」、一定時間だけ有効なパスワードを自動生成するハードウェアやスマホアプリを使う「トークン方式」、メールやSMSを使ってその都度送る「メール方式」がある。これに企業向けの電子証明書を加え、それぞれの弱点について解説する。弱点を突かれると守り切れなくなってしまうので、十分注意を払うとともに、マルウェア対策やフィッシング対策なども合わせ、二重三重の安全策で口座を守っていただきたい。
・「電子証明書」の弱点
特定の端末にインストールした電子証明書で正規のユーザーを確認するこの方式は、電子証明書を盗まれると成りすまし可能なのが弱点だ。国内の不正送金に使われたバンキングマルウェアには、この電子証明書を盗み出す機能を備え持つものがある。盗めないように設定されている場合にはいったん削除し、新しい電子証明書をインストールするタイミングで盗み出そうとする機能まで備わっているという。
・「乱数表方式」の弱点
事前に配布した数字が書かれた表の中から、その都度異なる場所の数字を入力させる方式で、表を盗まれてしまうと効果を失う。乱数表のすべての数字を入力させようとする攻撃が、マルウェア、フィッシングともに発生しているが、本物のネットバンキングでこのような操作を要求されることはない。全て入力させられそうになったら直ちに操作を中止し、サポート窓口に連絡して指示を仰いでいただきたい。
・「メール方式」の弱点
その都度異なる数桁の番号をメールやSMSで送る方式で、メールで送るタイプは送信先のメールを乗っ取られると効果がなくなる。マルウェアの中には、ネットバンキングとメールの両方のアカウントを盗み出す機能を備えたものがあり、国内の不正送金にも使われていると報告されている。SMSで送るタイプは、端末の監視アプリや遠隔操作アプリ、類似機能を持つマルウェアを仕掛けられると効果を失う。これは、メールで送るタイプの無力化にも有効な手段だ。
メールやSMSを受け取る端末で、ネットバンキングを操作する場合には、安全性が著しく低下するので注意したい。通帳と印鑑を一緒に持ち歩いたり、キャッシュカードに暗証番号をメモしておいたりするようなものなので、端末の盗難や不正操作対策を厳重に行っていただきたい。
・「トークン方式」の弱点
専用のハードやアプリをインストールしたスマートフォンに口座を結び付ける方式で、物理的な鍵と同じような高い安全性があり、基本的にはハードを直接操作されない限り安全だ。しかし、有効なワンタイムパスワードをユーザー自身に入力させる方法で突破される事例が発生している。偽の画面を表示してユーザーにワンタイムパスワードを入力させ、その裏でリアルタイムに送金処理等を実行してしまうやり方だ。「中間者攻撃」と呼ばれるこの手口は、マルウェアでもフィッシングでも仕掛けることができ、騙されると従来のワンタイムパスワード方式は全て無力なものにしてしまう。
ワンタイムパスワードの生成とネットバンキングの操作を同じ端末内で行う場合、安全性が低下するので注意したい。アプリの中には、ワンタイムパスワードの生成と取引の両機能を備えたものがあるので、知らずに使用していると危険だ。端末の盗難や不正操作対策を厳重に行っていただきたい。
・「トランザクション認証方式」の仕組みと弱点
みずほ銀行や住信SBIネット銀行、じぶん銀行なのどの一部のネットバンキングでは、上記の「中間者攻撃」に対抗するトランザクション認証と呼ばれる方式を導入している。この方式では、間に入ったマルウェアや偽サイトが勝手な取引を行えないように、取引内容を含む形でユーザーが実行許可を与える仕組みになっている。
みずほ銀行のトランザクション認証の場合は、電卓のようなカード型のハードウェアを使用する。取引実行時にカードに表示された暗証番号を入力する点は、通常のワンタイムパスワードと同じだが、振込先の口座番号をカードに入力して暗証番号を発生させる点が異なる。送金先情報を含んだワンタイムパスワードなので、中間者攻撃で任意の口座に勝手に送金させることができなくなる。
住信SBIネット銀行やじぶん銀行のトランザクション認証の場合は、スマホのアプリを使用する。振込などの実行時には、このアプリに取引内容が通知されるので、ユーザーがそれを確認して承認ボタンをタップし、取引を完了させる。これらアプリには、ログインロック機能も用意されており、この機能を有効にすると、アプリでロックを一時的に解除しなければ、ネットバンキングにログインすることもできなくなる。
安全性がかなり高くなるのだが、乱数表がキャッシュカードの裏に印刷されていたり、乱数表を無効化できなかったりという弱点がある。キャッシュカードの盗難や乱数表の弱点を突かれると、ネットバンキングのセキュリティ対策が無効化されてしまうおそれがあるのだ。
（2016/03/07 ネットセキュリティニュース）
【関連URL】
・平成27年中のインターネットバンキングに係る不正送金事犯の発生状況等について[PDF]（警察庁）
http://www.npa.go.jp/cyber/pdf/H280303_banking.pdf
・偽造キャッシュカード問題等に対する対応状況（平成27年3月末）[PDF]（金融庁）
http://www.fsa.go.jp/news/27/ginkou/20150828-5/01.pdf