銀行のパスワードを入力した直後にお金を奪われる被害が発生しています

2014/5/12 気をつけて・だまされないように

もう何を信用したら良いのかという状況になりつつあります。自衛できるところから着手しましょう。

money

以前にも何度かこのブログではオンラインバンキングなどのセキュリティ問題を取り上げてきました。
そして、本日飛び込んで来たニュースはショッキングなものでした。

インターネットバンキングで預金を奪われる被害は、これまで利用者が偽の画面に誤って入力したパスワードが後から悪用されるケースが中心でした。
しかし、「三井住友銀行」によりますと、ことし３月以降、利用者が偽の画面に誤ってパスワードを入力した瞬間に預金を奪うという新たな手口による被害が相次いでいるということです。
ログインすると「ダウンロード中です」などと書かれた偽の画面が表示され、振り込みなどに必要なパスワードを入力するとその直後に預金が奪われるということです。
三井住友銀行は、対策として去年１０月、１分ごとにパスワードが変わる仕組みを導入しましたが、今回は、この仕組みの利用者でも被害が確認されたということです。
パスワード入力直後に預金奪う新たな手口　NHKニュース

このニュースで注目すべき点は2つあります。
1)パスワードを入力した瞬間にお金を取られてしまう
2)ワンタイムパスワードの利用者での被害が発生

1)の点ですが、これは「おかしいな」と思った時にはもう既に遅いということです。

「自分はブラウザのURLや画面などを目視でよく確かめてからオンラインバンキングを利用するので大丈夫」と、たかをくくっている人が餌食にされてしまう可能性も高いです。「あ！今の待った！」と思った時にはオシマイです。
最初のURLは正しいところにアクセスして大丈夫なように思い込ませる攻撃方法もあります。

2)のワンタイムパスワード利用者も被害にあったという点は、より深刻だと思います。
三井住友銀行では一定時間ごとに数字がランダムで変わるワンタイムパスワード（使い捨て暗証番号）生成機を利用者に配布しています。
OTP

このような物で、裏に書いてある個別の番号を銀行側に登録してあるので、生成される数字（ワンタイムパスワード）は銀行は計算で分かっており、契約者と銀行だけが知る情報であるはずなので、安全だと思われていました。

これがどのように盗まれたかですが、1)と合わせると、ワンタイムパスワードをニセの画面に入力させて盗み、数字が変わるより前に瞬時にお金を抜き取られたのではないかと考えられます。
ワンタイムパスワードの数字自体を見破る技術はまだ無いと思いますが、盗んでしまえば使われてしまいます。

しかし、防止策として、この数字が変わるタイミングをあまりにも短時間（5秒とか）にしてしまうと、今度は人間が画面に入力するのに間に合わなくなってしまいます。

銀行や各種金融機関では、安全にオンラインからシステムを使ってもらえるように知恵を絞ってきましたが、「お金が動かせる」という点は犯罪組織にとって非常に魅力的で、向こうもあの手この手でお金を奪い取ろうと本気でやってきます。

個人で私たちが出来ることは少ししかありません。

最大の防御はオンライン取引を一切使わないようにすることです。
ログインしなければパスワードを盗みようがありません。ただし、現代人にはそれはとても不便ですよね。

なので、不要なオンライン取引は停止しておくこと。
これは画面からオンライン取引のロックや振込上限金額を0円に設定することで実施できるパターンなどがあります。振込上限金額をアップする手口もそのうち出てくるかも知れませんので完全ではありませんが、やらないよりはマシだと思います。なお、振込上限金額の増額には書面提出や日数がかかる銀行もありますので、いざという時に振り込めずに困ることがないように予め調べておいてください。

次に、セキュリティツールをインストールしておくこと。
オンライン詐欺の手口というのは明らかになった時にはもう古いのです。常に最新の対策をするのなら、専用のツールが必要となります。

最近では銀行が無料配布しているものもあるので、うまく活用しましょう。
詳しくはこちらの記事で書いている「Rapport」や「Phish Wall」と最近東京スター銀行に採用になった「SaAN Netizen」のようなものがあります。（Macで使えるのはRapportだけです）
三菱東京UFJ銀行の無料フィッシング対策ツールRapportを入れましょう

もちろん、有料のセキュリティツールもあった方が良いです。上記のフィッシング防止専用ツールとは別に、ウイルスやマルウェア感染からパソコンを守ってくれます。

私が自分のMacBookで使用しているのは「ウイルスバスター for Mac」1年版です。（モニター提供品）

Windows＆Macで使うなら、パソコン3台までインストールできるウイルスバスタークラウドの3年版だと2ヶ月分無料になるので、長く使う方はこちらがおすすめです。
>> ウイルスバスタークラウド 3年版ダウンロード版で2ヵ月無料

それと、当たり前ですがOSやブラウザ、アプリなどのセキュリティアップデートは常に最新のものにしておきましょう。

こういうことは、お金を取られた後ではもう遅いのです。
何もセキュリティ対策をしていないのは、大変なリスクになります。

もちろん、普段から怪しいメールのリンクを開いたりしないというリテラシーも必要です。
しかし、気をつけたところでだまされてしまう巧妙な最新の手口で、日々私たちのお金を狙っている人たちがいることを知っておきましょう。

ついでに関連して、「振り込め詐欺」ですが「振り込め詐欺救済法」というのがあって、口座凍結等で金融機関の口座に残っている資金の返却手続きができる場合もありますが、相手が上手の場合には逃げおおせてしまうでしょう。
（振り込め詐欺にあった場合は相手の口座番号を下の預金保険機構のページで検索してみてください）
>> 振り込め詐欺救済法に基づく公告トップページ