Internet Watch logo
記事検索
イベントレポート
【 2009/06/12 】
ひろゆき氏&夏野氏が講演「日本のネットは決してダメじゃない」
[18:57]
携帯ゲーム機のような見た目のNGN対応回線品質測定器
[14:28]
ISAO、IPデータキャストを利用したサービスイメージを展示
[11:33]
【 2009/06/11 】
アナログ停波後の周波数帯域を利用したマルチメディアサービス
[18:50]
日テレが「ニュース検索API」などを紹介、国内の地上波放送局初
[18:36]
UQ Com田中社長、高速&オープン志向「UQ WiMAX」のメリット語る
[17:45]
主催者企画コーナーでは「ServersMan@iPhone」のデモも
[11:13]
国内初のデジタルサイネージ展示会、裸眼で見られる3D映像など
[11:12]
【 2009/06/10 】
CO2排出量が都内最多の地域、東大工学部のグリーンプロジェクト
[20:01]
IPv4アドレス枯渇で「Google マップ」が“虫食い”に!?
[19:29]
UQ Com、7月の有料サービス開始に向けて「UQ WiMAX」をアピール
[19:20]
「Interop Tokyo 2009」展示会が開幕、今年はひろゆき氏の講演も
[14:53]

オンラインバンキング攻防戦でソフトウェアキーボードは無力


Kaspersky Lab東欧・中東・アフリカ地域のChief Security Expertを務めるCostin G. Raiu氏

オンラインバンキングが導入するユーザー認証
 Kaspersky Labが3日から7日までロシア・モスクワで開催した報道関係者向けイベント「International Press Tour」で、同社東欧・中東・アフリカ地域のチーフセキュリティエキスパートを務めるCostin G. Raiu氏が、オンラインバンキングに関する攻撃と防御方法の最新事情について講演した。

 Raiu氏は、近年ではルートキットをはじめとしてセキュリティソフトを回避する脅威が増えていると指摘。サイバー犯罪者の性質としては、騒ぎを起こすことを目的とした愉快犯から、綿密な計画を遂行する確信犯へとシフトし、金銭上の利益を得るためのマルウェアが用いられるようになっているという。Raiu氏によれば、2008年におけるサイバー犯罪市場は1000億ドル規模に上り、この数字は2006年に米国財務省が発表した麻薬取り引きの市場規模を上回っている。

 一方、サイバー犯罪者の標的とされるオンラインバンキングではユーザー認証を提供することで不正アクセスの防止を図っている。ユーザー認証には、「ユーザー名とパスワード」「IDと暗証番号」といった単純な認証方法に加え、これらにセキュリティトークン、スマートカード、ワンタイムパスワードなどを用いてセキュリティレベルを高めるケースもある。しかし、Raiu氏は、これらのユーザー認証にはいずれも「抜け道」があると説明する。

 まず、単純な認証方法については、キーロガーやパスワードスティーラーなどによってユーザーの個人情報が盗み出される危険性が高いと指摘。一部のオンラインバンキングはキーロガー対策として、マウスで画面上のキーボードをクリックすることでパスワードなどを入力するソフトウェアキーボードを提供している。しかし、画面キャプチャーを撮影するタイプのキーロガーには無効であるとして、デモを交えてソフトウェアキーボードの入力画面が撮影される様子を紹介した。


あらかじめキーロガーが仕掛けられたPC上で、オンラインバンキングが提供するセキュリティキーボードを使いパスワード“SECRET”を入力 キーロガーが盗んだ個人情報が記録されているフォルダ

キーロガーが撮影した画面キャプチャ(セキュリティキーボード上で“S”を選択していることがわかる) キーロガーが撮影した画面キャプチャ(セキュリティキーボード上で“E”を選択していることがわかる)

キーロガーが撮影した画面キャプチャ。通常のキーボードから入力されたユーザー名についても、“12345”であることがわかる

 また、より複雑なタイプの認証方法についても、ユーザーとオンラインバンキング間の通信を乗っ取る中間者攻撃を行うためのマルウェアが出回るなど、「サイバー犯罪者は、単純な認証方法だけでなく、複雑な認証方法をバイパスする手段もすでに見つけている状況だ」。Raiu氏は、オンラインバンキングを運営する金融機関に対して生体認証システムの導入を勧めるなど、セキュリティを確保するための投資を行うべきだと訴えた。

 オンラインバンキングをめぐる脅威に対してKaspersky Labとしては、同社のセキュリティソフト「Kaspersky Internet Security 2009」でさまざまなソリューションを用意しているという。まず、キーロガー対策としては、画面キャプチャを撮影するキーロガー対策を施したセキュリティキーボードを提供。講演ではデモを交え、画面キャプチャ撮影を無効にする様子を紹介した。このほか、怪しいプログラムの実行を阻止する機能や、脆弱性を検知する機能などを提供することで、オンラインバンキングを狙う攻撃に対抗できるとアピールした。


「Kaspersky Internet Security 2009」が提供するセキュリティキーボードを使ってパスワード“SECRET”を入力 通常のキーボードで入力したユーザー名については、キーロガーに盗まれる

「Kaspersky Internet Security 2009」のセキュリティキーボードで入力したパスワードについては、画面キャプチャ画面が真っ黒に変わるため、外部に漏えいすることがないという

関連情報

URL
  Kaspersky Lab(英文)
  http://www.kaspersky.com/

関連記事
ここが違う、2009年版セキュリティソフト[カスペルスキー編](2008/12/05)


( 増田 覚 )
2008/12/09 13:09

- ページの先頭へ-

INTERNET Watch ホームページ
Copyright (c) 2008 Impress Watch Corporation, an Impress Group company. All rights reserved.