不正送金させるバンキングマルウェアとは？

2015年の被害総額は30億円を突破！

通信回線を利用したオンラインバンキングサービスは早くから開始されており、パソコン通信の時代から専用端末が提供されていました。これが、インターネットの浸透に伴い、インターネットバンキングとなり、金融機関の基本的なサービスとして提供されています。

市場の拡大とともに発生したのがインターネットバンキングを攻撃する「バンキングマルウェア」です。不正送金を目的に開発されたプログラムで、インターネットバンキングはバンキングマルウェアの格好のエサ場となっています。

かつてはキーストロークを盗む単純な「キーロガーソフト」を使用して、ユーザー名とパスワードを取得していました。金融機関も対応を行いましたが、技術の進化が進んだ今、犯罪者と銀行の間のイタチごっことなっています。

金融機関の努力にもかかわらず、被害総額は右肩上がりで増加しています。警察庁の発表では、インターネットバンキング口座からの不正送金被害は2015年に、件数で1,495件、金額で約30.7億円に達したとされています。2013年の被害額が約14.6億円ですから、わずか2年で倍以上に増えたことになります。

出典：警察庁
「平成27年中のインターネットバンキングに係る不正送金事犯の発生状況等について」 https://www.npa.go.jp/cyber/pdf/H280303_banking.pdf
　　　

不正送金の手口

インターネットバンキング不正送金の手口は、大きく2つ「フィッシング詐欺」と「不正送金ウィルス」があります。

■フィッシング詐欺

お客様の利用している金融機関やショッピングサイトから「詐欺メール」が届き、巧みに偽装されたフィッシングサイトに誘導されます。そこで、パスワード等の変更を求め、IDとパスワードを盗み出し、これで不正送金を働きます。

送付されてくるメールでは「システムトラブル」や「セキュリティ対策のため」など、もっともな件名で届き、利用者を欺きます。

■不正送金ウィルス（バンキングマルウェア）

金融機関のページを不正にWeb改ざんして、不正送金を働くウィルスを忍び込ませます。お客様の利用中にサイトからポップアップが表示され、アカウント情報の入力が求められたり、不正な送金を行います。フィッシング詐欺は従来とは異なるサイトに誘導されますが、不正送金ウィルスは正規のURLなので、気づきづらいのが特徴です。

バンキングマルウェア「Shif」と「VAWTRAK」

バンキングマルウェアの具体的なイメージをご紹介しましょう。

■フランケンシュタイン マルウェア「Shifu（シーフ）」

トロイの木馬型マルウェアです。従来のマルウェアの悪質なところをつぎはぎで使っているため、フランケンシュタイン マルウェアとも呼ばれています。Shifuはネットバンキングユーザーの認証情報や電子証明書を盗み、悪用します。日本でも2015年に金融機関14行が標的にされていると発表され、被害も報告されています。
出典： THE ZERO/ONE「日本の金融機関を狙う危険な銀行マルウェア『Shifu』」
https://the01.jp/p000227/
出典： Security Affairs「a dangerous Banking Trojan is Attacking Japanese Banks」
http://securityaffairs.co/wordpress/39797/cyber-crime/shifu-banking-trojan-hit-japan.html　　　

■ワンタイムパスワードも無効化する「VAWTRAK(ボートラック）」

バンキングマルウェアへの金融機関の防御策として多く採用されているのがワンタイムパスワードです。しかし、「VAWTRAK」はワンタイムパスワードを迂回して、アカウント情報を盗み出す恐ろしい機能を備えています。

被害に遭わないための注意点

最も重要なのは金融機関が推奨する不正送金対策ソフトをインストールすること。通常のウィルス対策ソフトと異なり、インターネットバンキングに特化しているため、有効なバンキングマルウェア対策となります。もちろん、そのパターンファイルも常に更新しておきます。

これに加えて、以下の点に注意してください。

• ・金融機関からの怪しい誘導メールに注意する
• ・いつもと違うログイン画面やポップアップが表示されたら注意する
• ・OSやソフトウェアを常に最新の状態を保つ
• ・不正な引き出しがないか、インターネットバンキングの口座を小まめに確認する

まとめ　～ 不審を感じたらすぐに報告を！～

インターネットバンキングはお金を直接取り扱うサービスであるため、多くの専門ハッカー集団に狙われています。日々新たな手法が開発され、金融機関の対策は後手に回りがちです。メールやサイトに不審を感じたら、手を出すことなく金融機関に報告しましょう。