ウィルス対策ソフトでも防げない不正送金ウイルスの手口とその対策とは？

増加する不正送金被害

警察庁によれば、インターネットバンキングのアカウント情報（IDやパスワードなど）が不正に盗まれ、オンライン上の口座から不正送金される犯罪の被害額が、2015年は1,495件、被害額が約30.7億円にものぼっています。
標的となる銀行口座は個人・法人を問わず、また、標的とされた銀行は大手銀行から地方銀行まで多様です。

フィッシング型攻撃からマン・イン・ザ・ブラウザー型の攻撃へ

数年前までよく見られた不正送金の手口は、銀行を装ったメールなどを送信して被害者を偽のサイトに誘導し、その偽のサイトにIDやパスワードを入力させて盗むというフィッシング型の攻撃でした。
フィッシング型の攻撃は、実在する銀行やショッピングサイトなどを騙ったメールを送信し、システムトラブルやセキュリティ対策のためなどといって、IDやパスワードを指定のURLに入力するよう誘導します。 これを本物と思った被害者が、メールに記載されていたURLに飛ぶと、偽のログインページが表示されます。 このページにIDやパスワードなどを入力すると、情報が不正に盗まれ、不正送金などに悪用されるという仕組みです。
こうしたフィッシング詐欺の被害を防ぐため、銀行はホームページで注意喚起をしたり、ワンタイムパスワードを使用するなどといった対策を講じてきました。

しかし、ここ数年増えているのが、不正送金ウイルスを使ったマン・イン・ザ・ブラウザー（MITB）型の攻撃です。
この攻撃では、まず被害者のパソコンに何らかの形でウイルスが侵入します。 その後、被害者が正規の銀行のWebサイトにアクセスし、ログインを行うと、ウイルスはログインを検知した後にブラウザを乗っ取ります。 例えるならば、ログインページが建物の門だとするならば、被害者がカギを開けて中に入るのを待ってから、初めて犯行に及ぶのです。
ウイルスは通信内容を改ざんして不正送金などの動作を行いますが、被害者はそれに気が付きません。

MITB型攻撃の特徴

正常な表示がされるため、正規の振り込み動作と見分けがつかない

フィッシング型攻撃であれば、「怪しいメールが届いても無視する」「ブラウザに表示されているURLを確認して本物の銀行のサイトかどうか確認をする」といった対策が可能でしたが、MITB型攻撃の場合、銀行サイトそのものは正規のものであるため、見ただけでは区別がつきません。

ウイルス対策ソフトで検知されない

この種のウイルスは一度感染すると、そのパソコン固有の環境情報を埋め込んだ新たなプログラムを作成します。 そのパソコン専用のプログラムとして動作するため、ウイルス対策ソフトのパターンマッチに検出されなくなります。 このため、ユーザーが一般的なセキュリティ対策を行い、ウイルス対策ソフトをパソコンに導入していても、被害にあってしまうことがあります。

ワンタイムパスワードなどの対策が役に立たない

銀行側がワンタイムパスワードやソフトウェアキーボードなどの対策を施しても、この種のウイルスは正常にログインした後にパソコンを乗っ取るため、銀行側の対策が意味をなしません。

MITB型ウイルスへの対策

専用対策ソフトの導入

MITB型ウイルスを検出するためのラポートやPhishWallといった無料対策ソフトがあります。ネットバンキングを行うパソコンに導入し、最新の状態にしておきましょう。

各種ソフトウェアを常に最新の状態に

OSやブラウザ、Java、Adobe Readerといった各種ソフトウェアを常に最新の状態にするためにも、こまめなアップデートが大切です。
ソフトウェアの脆弱性が見つかってから、最新版がアップテートされるまでのわずかな時間差を狙い、マルウェアでの攻撃をしかけるゼロデイアタックという手法がたびたび用いられています。 アップテートのチェックは、自動で、かつ毎日行うように設定しておきましよう。 旅行など長期休暇でパソコンに何日も触らなかった場合は特に注意し、手動でアップデートチェックをするようにしましょう。

ログインするパソコンを決める

ネットバンキングにログインするパソコンを決め、ほかのパソコンではログインしないようにしましょう。
できれば、ネットバンキング専用のパソコンを持つことが望ましいです。ネットバンキング以外のホームページを閲覧しないことや、メールの送受信を行わないことで、ウイルスに感染する危険性を減らすことができます。 それが難しくても、パソコンが複数台ある場合は、普段インターネットに接続しないパソコンでネットバンキングを行い、頻繁にインターネットを閲覧するパソコンではネットバンキングにログインしないといった使い分けをすることが有効です。

まとめ

ネットバンキングの不正送金の被害に遭わないために、普段からセキュリティに対する心構えと知識を持つことが大切です。 十分な対策と知識があれば、過度に恐れる必要はありません。大切な口座を犯罪者の手から守るのは、日々の心がけの積み重ねが肝心なのです。