アジェンダ 1. ジャパンネット銀行について (1) 会社概要 (2)JNB-CSIRT 組織概要 2.SMS を利用したフィッシング ( 不正送金 ) (1) 不審な SMS について (2) 具体的な画面遷移 (3) 対処内容 (4) 今回の事例の特徴 3. その他不正送金関連事案 (1) パソ

Transcription

1 ジャパンネット銀行 -SMSを利用したフィッシング ( 不正送金 ) 年 11 月 jp/

2 アジェンダ 1. ジャパンネット銀行について (1) 会社概要 (2)JNB-CSIRT 組織概要 2.SMS を利用したフィッシング ( 不正送金 ) (1) 不審な SMS について (2) 具体的な画面遷移 (3) 対処内容 (4) 今回の事例の特徴 3. その他不正送金関連事案 (1) パソコンでの事例 1( 金融マルウェア ) (2) パソコンでの事例 2( 金融マルウェア ) (3) スマートフォン ( 金融マルウェア?) (4) 不審な電話 (5) 不正送金の発覚を遅らせる 4. 金融機関内の情報共有 ( 金融 ISAC の取り組み ) 2

3 1. ジャパンネット銀行について (1) 会社概要 名称 : 株式会社ジャパンネット銀行 事業内容 : インターネット専業銀行 所在地 : 東京都新宿区西新宿 資本金 :372 億円 (2015 年 3 月末 ) 口座数 :305 万口座 (2015 年 10 月末 ) 日本初のインターネット専業銀行 2000 年 9 月 19 日設立 2000 年 10 月 12 日開業当社のチャレンジ精神 戦後初の普通銀行免許取得 新たな形態の銀行の第一号 日本初のインターネット専業銀行 IT による金融サービスの向上 並びに低コストと高度なセキュリティ技術の両立 3

4 連する重要インフラ事業者 54 会員関部JNBは2010/6/24 加盟外組織1. ジャパンネット銀行について (2)JNB-CSIRT 組織概要 JNB-CSIRTは セキュリティインシデント管理手続 で規定社内制と活 JNB-CSIRT 活動方針 体動内リスク管理委員会 IT 統括部 JNB-CSIRT 投資管理 OA 統括 サイバーセキュリティ対策室 ( 事務局 ) ( メンバー ) IT 統括部 : 金子 飯塚 池田 二宮岩本 小澤 藤川 IT 本部 : 島崎 千葉 後藤 情報 splunk 情報確認ログ調査連携 情報 情報 勘定系技術 カスタマーセンター WEB 技術 OA 技術 10 名で活動 お客さま IT 本部 ( システム対応 ) パッチ適用 アプリ インフラ改修等 絡( 各部業務 ) 窓法務 広報 顧客告知 口モニタリング 顧客サポート等 ミッションステートメント 活動方針 経営への報告事項 運営方法 情報共有ルールル (TLP) などを規定 区分体制整備 発 時の態勢 マニュアル整備 警戒態勢等容各本部 事業部 未然防 活動 概要規程類整備 不正送 DDoS 情報漏えい対策 標的型メール訓練 ログ分析 度化 情報収集 外部組織との連携等 活動内容 インシデント統制 社内連絡 事象分析 ログ分析 対策勧告 啓蒙活動 情報収集 外部組織連携等連メーリングリストによる情報交換 セキュリティ事案の詳細情報 不正 IP アドレス URL 等の情報 対策 他行 CSIRT の対応状況など 外部活動への参加 ワーキンググループ (WG メンバー参加 講師など ) セミナー受講 各組織会合への参加 会員との親交など 金融 ISAC 日本シーサート協議会 (NCA) 警視庁生活安全部 国内金融機関 130 会員 JNBは2014/8/1 加盟 国内事業者 103 会員 JNBは2013/10/4 加盟 サイバー犯罪対策課共同対処協定書 SMFG/JRI 2012/12/19 締結 JPCERT/CC + 他行 CSIRT 警察庁生活安全局 全銀協 金融庁 日銀 EMC ヤフー 情報技術犯罪対策課 警視庁公安部サイバーテロ対策協議会 重要インフラ事業者 54 会員 4

5 2.SMS を利用したフィッシング ( 不正送金 ) (1) 不審な SMS について 2015 年 7 月 JNB を騙りパスワード変更を要求する SMS が送信された 5

6 2.SMSを利用したフィッシング ( 不正送金 ) (2) 実際の画面遷移について 1 ログイン情報の入力 6

7 2.SMS を利用したフィッシング ( 不正送金 ) 2 暗証番号 ワンタイムパスワード入力 3 お待ちください のまま進まず よく見ると URL 欄にログイン情報の 一部が含まれている 7

8 2.SMSを利用したフィッシング ( 不正送金 ) (3) 対処内容 1 フィッシングサイトのテイクダウン依頼 2 お客さまへの注意喚起 ( ホームページ メール ) 3 各種ブラウザからの不正サイト報告 4フィッシング画面におとりデータ ( ダミー情報 ) 入力 接続してきたIPアドレス ( 犯罪者と推測 ) をブロック 5 関係機関への報告 他金融機関への情報連携 8

9 2.SMSを利用したフィッシング ( 不正送金 ) (4) 今回の事例の特徴 ( 当初 ) なぜか利用するブラウザ判定により偽 JNB or 偽他銀行 へ振り分け ( 改善 1) 誤った判定ロジックを修正 どのブラウザでも偽 JNB サイトに接続 ( 改善 2) ドメイン(URL) に JNB の文字列を含みそれっぽくなってきた ( でも ) 日本語は変なまま により により ってパスワードは定期に変更 定期に って 9

10 3. その他不正送金関連事案 (1) パソコンでの事例 1( 金融マルウェア ) 2014 年 7 月ログイン時にウイルス対策ソフトのインストールを求める MAf McAfee Norton 無料配布中 JNBのロゴ の記載 2014 年 11 月上記と同じで IBM Trusteer Rapport の表示 2014 年 11 月ログイン時にワンタイムパスワードの入力を求めるケースで入力後のメッセージが変化 XX 時 ~XX 時はシステムメンテナンス中のため利用できない 時間は 2 時間 PCのローカル時刻を参照? 2015 年 1 月 Firefoxで証明書エラー (sec_error_unknown_issuer) error IEではログイン画面と別に電話番号の入力を求める 10

11 3. その他不正送金関連事案 (2) パソコンでの事例 2( 金融マルウェア ) 2015 年 3 月の事例 アドレス欄は maikosof と表示 EVSSL の緑色を維持 2015 年 4 月の事例 店番号 口座番号 ワンタイムパスワードの入力欄ありとの連絡あり WEBインジェクションされたようにも思えたが 当該お客さまは IBM Trusteer Rapportのインストールあり IE のプロキシ設定確認も proxy.pac 等の設定は空欄 11

12 3. その他不正送金関連事案 (3) スマートフォン ( 金融マルウェア?) 2014 年 7 月ログイン後の操作時にウイルス対策ソフトのインストールを 求められたとの入電あり (Ad (Android) インストールすると お使いの端末は利用できません その後フリーズしてズして 元の画面に戻った 2015 年 1 月ホーム画面設置の当社アイコンクリック時に 緊急事態が起きています 詐欺の疑いがありますのでワンタイムパスワードを入力してください と表示 (ios JailBreak はしていないとの申し出 ) その後 再現確認も事象再発せず 12

13 3. その他不正送金関連事案 (4) 不審な電話 2015 年 4 月 JNB や警察を騙り ワンタイムパスワード詐取を狙う不審な電話 お客さまの申し出( 例 ) 1 JNBの ( 非通知 ) より 口座情報が見られている 別途 警察から連絡する 2 警察 ( 非通知 ) より連絡があり 口座が操作されている 3 JNBの ( 非通知 ) より 口座凍結した方が良い 4 キャッシュカード トークンを手元に準備させる など お客さまは途中で切断も最終的にワンタイムパスワード詐取を狙うものと推測 補足情報 1 当社の電話番号 ( ) の偽装事例あり 海外の偽装サービスと推測 お客さまの電話機の表示は ( 参考 ) 2 携帯電話 ( XX) 06XX) に折り返しかけさせようとする手口もあり 3 犯罪者は片言ではない ( 日本人が架電と推測される ) 2015 年 7 月 JNB を騙り不審な電話 やりとり型の手口をやめ 1 回の電話でワンタイムパスワード詐取を狙う手口に変化 13

14 4. 金融機関内の情報共有 ( 金融 ISAC の取り組み ) (1)IP&UA の情報共有の目的について なりすましログイン有無の調査により 不正送金の早期検知 注意喚起による不正送金の未然防止 UA:UserAgent(OS ブラウザ情報) ( 例 )Mozilla/5.0 (Windows NT 6.1; Trident/7.0; rv:11.0) like Gecko Windows NT6.1 Windows 7 rv:11.0 Internet Explorer 11.0 利用端末のOS ブラウザの推測が可能 ( 偽装可能なため注意 ) ( 偽装可能なため注意 ) (2) 共有情報ごとの利用目的 No 共有情報利用目的 1 不正送金に使われた IP&UA なりすましログイン有無の調査 2 アグリゲーションの IP&UA なりすましログインでないことのな早期切り分け 3 VPS 等サービスの IP&UA 4 中華系ブラウザの UA なりすましログインの判断材料 ( 後押しの材料 ) 5 その他怪しい UA 15

15 まとめ 今回学んだこと スピーディな対処には事前の作業分担決め 平常時の訓練が重要 SMS を使ったフィッシングは不正送金の 手口の1つにすぎない 他組織との情報交換は極めて重要 ( 攻撃手口 対処方法を事前に把握可能 )