インターネットバンキングを標的とした攻撃とパスワード管理

「独立行政法人情報処理推進機構（IPA）」は、2011年8月3日、「国内のインターネットバンキングで不正アクセスが相次いでいる」として不正プログラムや迷惑メールに対する注意喚起を行いました。本記事では2000年代中盤から主にインターネットバンキングを標的とした攻撃を行い、海外で多くの被害を生み出している通称「Zeus」や「SpyEye」に関連するトピックを中心にインターネットバンキングを標的とした攻撃を解説します。

自宅や勤務先など、インターネットにつながっていれば容易に振込手続きや残高確認が行えるインターネットバンキング。多くの金融機関において、インターネット経由の取引に手数料を優遇していることもあり、多くのユーザが活用しています。

しかし反面、口座番号に該当するユーザIDと暗証番号に当たるパスワードが流出してしまうと自分の銀行口座の情報が漏れるどころか、知らないうちに第三者へ振り込まれてしまうなどといったリスクも存在します。そのため、多くの金融機関では二重のパスワード設定やソフトウェアキーボード使用の推奨、ワンタイムパスワードを発行するトークンを配布するなど対策を強化してきました。

■インターネットバンキングを標的とした情報収集型不正プログラム「ZBOT」～ボットネット「Zeus」
日本ではこれまで目立った被害を確認していませんが、世界的にはインターネットバンキングを標的に特化した情報収集型不正プログラム「ZBOT（ゼットボット）」が2007年頃より目立った活動を行っており、トレンドマイクロでも監視を続けています。これは、「ZeuS（ゼウス）」と呼ばれるツールキットによって作成・拡散される不正プログラムであり、感染したユーザが入力した銀行口座に関連する情報（ID、パスワード）を攻撃ツールを通じて入手できるものです。「ZBOT」に感染したパソコンはツールキット「ZeuS」によって遠隔制御されることとなり、これらのゾンビPC群はセキュリティ専門家の間では ”ボットネット「Zeus」” と呼ばれています。

図1：不正プログラム「ZBOT」、攻撃ツール「ZeuS」、ボットネット「Zeus」の関係

ユーザの感染のきっかけとしては、迷惑メールや Web経由の感染が挙げられます。迷惑メールの事例では、facebook などの SNS からのメールを偽装したり、「マイケル・ジャクソン氏死去」など時宜をとらえたニューストピックでユーザの興味を引き、メール内に記載された URL をクリックさせて最終的に「ZBOT」関連の不正プログラムに感染させる事例を確認しています。

同じ名前を冠しているのでややこしいですが、このツールキット「ZeuS」や、ボットネット「Zeus」については、ツールキットそのものを売買したり、ボットネットを時間貸しするサービスがインターネット上で取引されていることを確認しています（図2参照）。

図2：ツールキット「ZeuS」の売買画面

■「Zeus」の対抗馬「SpyEye」が登場
「ZeuS」に対抗するツールキットとして「SpyEye（スパイアイ）」が登場し広く知られるようになったのは昨年2010年のことです。この「SpyEye」もインターネットバンキングを標的とした攻撃ツールに特化しており、「Zeus」同様に情報収集型不正プログラムを作成します。「SpyEye」によって作成される不正プログラムはその名の通り「SPYEYE」もしくは「EYEBOT」と称され、「ZBOT」同様に感染するとユーザの情報を盗みとろうとします。「SPYEYE」に感染したゾンビPC はボットネット「SpyEye」を構築、攻撃ツール「SpyEye」の指示の通りに動きます。

図3：SpyEyeのコンソール画面

「Zeus」と「SpyEye」は長らく競合関係にあり、使い勝手の良さをアピールするために小規模なバージョンを繰り返すとともに、自身のボットネットを拡大するための攻撃を実行し続けました。しかし、2010年10月下旬にツールキット「Zeus」の作者が「SpyEye」側にソースコードを提供し、両者は合併したと見られます。これは攻撃の収束を意味するのではなく、両者の力を結集してより巧妙な攻撃が行われることを示唆するものです。

■日々のセキュリティ対策とパスワード管理の見直しを
このほかにも、特定の銀行を標的にしたとみられる「BANCOS」ファミリなどの不正プログラムに加え、従来から存在するフィッシングメール・フィッシングサイトなど攻撃者側はあらゆる手段を通じてユーザから金銭に関連する情報を詐取しようとします。

インターネットバンキングの利用時だけでなく、インターネット活用の上でユーザはパスワード管理について改めて見直すことをおすすめします。IPAからは「パスワードの漏えいを防ぐ対策」として下記の5点が紹介されています。

1. パスワードを強化する
2. パスワードを適切に管理する
3. パスワードを適切に利用する
4. パスワードを盗まれないように注意する
5. ワンタイムパスワードを利用する

これらに加え、パソコンやスマートフォンなどインターネットに接続する機器にセキュリティソフトを導入し適切に運用する、OS やアプリケーションなどソフトウェアを最新の状態にする、Webサイトやメールのリンクを安易にクリックしない、などの基本的な対策も改めて徹底下さい。

参考記事：

IT Pro：インターネットバンキングを狙う攻撃【前編】　～ボットネット「Zeus」の全盛～
　　http://itpro.nikkeibp.co.jp/article/COLUMN/20110125/356426/?ST=security

IT Pro：インターネットバンキングを狙う攻撃【後編】　～ユーザーを脅かす最新の脅威～
　　http://itpro.nikkeibp.co.jp/article/COLUMN/20110208/356995/?ST=security