インターネットバンキングの安全性を巡る現状と課題

2006-J-14 インターネットバンキングの 安 全 性 を 巡 る 現 状 と 課 題 決 済 機 構 局 中 山 靖 司 2006 年 7 月 金 融 機 関 は 偽 造 キャッシュカード 問 題 への 対 応 に 加 え インターネットバンキングを 対 象 とした 犯 罪 についても 対 策 を 進 める 必 要 がある 最 新 の 犯 罪 動 向 およびその 対 策 方 法 をフォローしつつ 被 害 が 深 刻 化 する 前 に 本 人 認 証 の 強 化 不 正 取 引 監 視 等 の 適 切 な 対 策 を 講 じること また 利 用 者 に 対 する 啓 蒙 を 一 段 と 進 めることが 重 要 である 預 金 者 保 護 法 制 定 後 の 状 況 1 偽 造 キャッシュカード 問 題 昨 年 8 月 偽 造 カード 等 及 び 盗 難 カード 等 を 用 いて 行 われる 不 正 な 機 械 式 預 貯 金 払 戻 し 等 か らの 預 貯 金 者 の 保 護 等 に 関 する 法 律 ( 通 称 預 金 者 保 護 法 )が 制 定 ( 本 年 2 月 施 行 )され 偽 造 キャッ シュカードあるいは 盗 難 キャッシュカードによ る 不 正 な 預 金 引 出 しにより 個 人 預 金 者 が 被 害 を 受 けた 場 合 は 原 則 全 額 金 融 機 関 が 補 償 するこ とが 義 務 付 けられることとなった これを 受 け 金 融 機 関 はセキュリティの 確 保 を 経 営 問 題 とし てとらえ キャッシュカードの IC カード 化 本 人 確 認 手 段 としての 生 体 認 証 の 導 入 リスクに 応 じた 利 用 限 度 額 の 設 定 等 セキュリティ 向 上 のた めの 取 り 組 みを 進 めている しかしながら セ キュリティ 対 策 に 多 大 なコストをかけるよりも 当 面 は 保 険 でカバーしつつ 様 子 を 伺 おうとする 先 も 見 られ 対 応 が 順 調 に 進 捗 しているとは 必 ず しも 言 い 難 い 状 況 にある 例 えば キャッシュカードの IC カード 化 の 進 捗 度 合 いを 見 ると カード 総 発 行 枚 数 に 占 める IC カードの 割 合 は 1.2% 全 ATM に 占 める IC 対 応 ATM の 割 合 は 9.9%に 過 ぎない( 金 融 庁 偽 造 キャッ シュカードに 対 する 金 融 機 関 の 取 り 組 み 状 況 17 年 12 月 より) しかも IC カードの 大 半 は IC 非 対 応 の ATM( 提 携 先 金 融 機 関 やコンビニの ATM)での 相 互 運 用 性 を 確 保 するために 磁 気 ストライプ カードとしても 使 えるようになっており 従 来 同 様 の 脆 弱 性 が 依 然 として 残 っている 盗 難 対 策 と して その 有 効 性 が 期 待 されている 生 体 認 証 にし ても 導 入 済 みの 金 融 機 関 は 昨 年 末 で 導 入 予 定 の 先 を 含 めても 11.5%に 過 ぎない また 現 状 では 当 該 金 融 機 関 の 本 支 店 に 設 置 された IC 対 応 の ATM でしか 利 用 できない 1 ため 生 体 認 証 機 能 付 き IC カードに 切 り 替 えた 顧 客 はそれほど 多 くな い 模 様 である 図 表 1 偽 造 キャッシュカードによる 被 害 状 況 件 数 ( 単 位 : 件 百 万 円 ) 金 額 13 年 度 1 19 14 年 度 4 16 15 年 度 111 302 16 年 度 437 981 4 ~6 月 56 186 7 ~9 月 74 276 10~12 月 218 390 1~3 月 89 129 17 年 度 552 690 4~6 月 108 135 7~9 月 126 160 10~12 月 164 249 1~3 月 154 146 出 所 : 全 銀 協 偽 造 キャッシュカードによる 預 金 等 不 正 引 出 し に 関 するアンケート 結 果 1 本 年 3 月 全 銀 協 IC カード 標 準 仕 様 の 改 定 が 行 われ IC カードに 生 体 認 証 機 能 を 実 装 する 際 の 仕 様 が 取 り 決 められた こ れに 基 づいた 実 装 を 行 えば ATM に 複 数 の 異 なる 生 体 認 証 機 器 を 搭 載 したり 同 じ 生 体 認 証 方 式 を 採 用 する 金 融 機 関 同 士 の 相 互 運 用 性 を 確 保 したりすることが 可 能 となった 1

こうした 中 で ほとんどの 金 融 機 関 では セ キュリティレベルの 低 い 磁 気 ストライプカード を 使 った 取 引 にかかる 利 用 限 度 額 を 引 下 げ リス クを 低 減 しようとしているのが 実 態 である その 結 果 偽 造 キャッシュカードによる 不 正 な 預 金 引 出 しは 1 件 あたりの 被 害 額 こそ 小 口 化 しつつあ るものの 被 害 件 数 は 今 のところ 減 少 に 転 じる 気 配 を 示 していない( 図 表 1) 2インターネットバンキングにかかる 犯 罪 等 この 預 金 者 保 護 法 は インターネットバンキン グにかかる 犯 罪 には 適 用 されない したがって 現 時 点 では 個 人 の 預 金 者 が 被 害 を 受 けた 場 合 で も 金 融 機 関 にはこれを 補 償 する 義 務 はない こ れは 制 定 を 急 いだ 同 法 案 が 検 討 されていた 当 時 は 被 害 が 出 始 めたばかりで その 実 態 把 握 すら 難 しかったことが 背 景 にある 2 このため 実 際 には 金 融 機 関 の 自 主 的 な 判 断 により 預 金 者 に 対 する 被 害 の 補 償 が 行 われてい ることがほとんどのようであるが 被 害 が 深 刻 化 していない 今 のうちに インターネットバンキン グについても 早 めに 対 策 を 講 じることが 必 要 で ある インターネットバンキングを 巡 る 現 状 インターネットバンキングは 今 や 金 融 機 関 の 重 要 なチャネルとして 認 識 され サービスの 対 象 となる 口 座 数 も 2005 年 3 月 末 現 在 256 金 融 機 関 で 約 1,630 万 口 座 を 数 えている( 金 融 情 報 システム センター 金 融 基 幹 業 務 のシステム 化 に 関 するアンケート 調 査 (2005 年 3 月 31 日 基 準 ) より) インターネッ トバンキングを 専 業 とする 銀 行 も 現 れ( 口 座 数 246 万 口 座 ) インターネット 上 の 電 子 商 取 引 サイトに おける 決 済 サービス 機 能 を 提 供 する 主 体 として も 重 要 性 を 増 しつつある こうした 中 で 近 年 日 本 においても フィッ シング 等 本 人 確 認 情 報 盗 取 による インターネッ トバンキングを 対 象 とした 犯 罪 が 問 題 になりつ つある 金 融 機 関 からのメールを 装 って 偽 のサイ トに 誘 導 し 口 座 にアクセスするための ID やパ スワードを 騙 し 取 ろうとする 単 純 なフィッシン 2 同 法 では インターネットバンキングにかかる 犯 罪 等 に ついては 速 やかに その 実 態 の 把 握 に 努 めその 防 止 策 および 預 貯 金 者 等 の 保 護 のあり 方 を 検 討 し 必 要 な 措 置 を 講 ずること が 付 帯 決 議 されている グについては すでに 多 くの 事 例 が 確 認 されてい る さらに 実 害 が 出 た 例 としては インターネッ トカフェにキーロガー(=キーボード 入 力 を 秘 密 裏 に 記 録 するソフト)が 仕 掛 けられ インターネットバ ンクにアクセスするための ID やパスワードが 盗 まれた 事 件 (2003 年 )や 電 子 メールや CD-ROM でスパイウェアが 送 られてきて これを 言 葉 巧 み に 実 行 させられた 結 果 本 人 確 認 情 報 が 盗 取 され た 事 件 (2005 年 ) 等 が 知 られている 現 時 点 で 判 明 している 事 件 の 被 害 総 額 は 数 千 万 円 程 度 の 模 様 であるが( 図 表 2) 海 外 では 米 国 等 を 中 心 に 大 きな 被 害 が 発 生 しており 3 いずれ 日 本 も 同 様 の 脅 威 に 晒 される 可 能 性 がある 図 表 2 インターネットバンキングの 被 害 状 況 時 期 17 年 4 ~6 月 7 ~9 月 10~12 月 ( 単 位 : 件 百 万 円 ) 18 年 1~3 月 件 数 2 13 16 6 金 額 1 12 13 4 出 所 : 全 銀 協 インターネットバンキングによる 預 金 等 不 正 引 出 し に 関 するアンケート 結 果 インターネットバンキングを 狙 った 犯 罪 手 口 海 外 におけるフィッシング 等 の 犯 罪 の 動 向 に 目 を 向 けると その 手 口 は 国 境 を 越 えて 組 織 的 に 行 われる 万 国 共 通 のものであり プロの 犯 罪 であ ることが 多 い 不 正 に 獲 得 された 資 金 の 多 くはバ ルチック 諸 国 に 送 られマネーロンダリングされ ていると 言 われており 追 跡 も 容 易 ではない また その 手 口 も 年 々 巧 妙 になっている( 図 表 3) ターゲットを 絞 ることによってより 言 葉 巧 みに 欺 こうとする 攻 撃 スピアフィッシング(ター ゲットフィッシング) や インターネットサイトの 接 続 先 情 報 を 改 竄 し 顧 客 を 不 正 サイトに 誘 導 す る ファーミング 不 正 な 無 線 LAN のアクセス ポイントを 使 った 悪 魔 の 双 子 (Evil Twin) や 不 正 中 継 サーバ 等 によって 偽 のサイトに 誘 導 する 等 様 々な 手 口 が 見 つかっている 不 正 中 継 サー バ の 場 合 は 中 間 者 攻 撃 (man in the middle attack) 3 フィッシングの 被 害 に 関 する 統 計 は 存 在 しないが 米 国 では 年 間 で 約 7,300 万 人 が 平 均 50 件 以 上 のフィッシングメールを 受 け 取 り その 被 害 総 額 は 約 9 億 3 千 万 ドル( 約 1,000 億 円 )に 達 しているとの 推 計 がある( 米 ガートナー 社 調 べ) なお 同 推 計 には インターネットバンキングの 他 クレジットカードや Paypal 等 の 送 金 業 者 に 対 するフィッシング 被 害 が 含 まれる 2

図 表 3 進 化 するフィッシング 手 が 込 ん だ 攻 撃 本 人 認 証 強 化 が 比 較 的 有 効 不 正 取 引 監 視 が 比 較 的 有 効 米 国??? トロイの 木 馬 (PCハイシ ャック) ( 勝 手 に 取 引 指 図 犯 人 がリモートアクセスで 指 示 ) 日 本 双 子 の 悪 魔 不 正 中 継 ( 無 線 LANアクセスホ イント 不 正 PROXY) ファーミング(DNSやhostsファイルの 改 竄 ) スピアフィッシング(ターケ ットを 絞 った 攻 撃 ) フィッシング( 偽 メールや 偽 Webサイト) スパイウェア(PC 上 で 操 作 履 歴 を 取 得 <keylogger 等 >) 将 来 といって フィッシングサイトで 実 際 に 入 力 され たパスワード 等 の 本 人 確 認 情 報 や 取 引 指 図 を 裏 でリアルタイムに 正 規 のサイトに 繋 ぎ 正 しい 結 果 の 画 面 を 利 用 者 に 返 すなど 利 用 者 から 見 れば 正 しく 取 引 が 行 われているようにすることも 可 能 であり 単 に 利 用 者 に 気 づかれないように 本 人 確 認 情 報 を 盗 取 するだけでなく 途 中 で 取 引 指 図 を 改 竄 する 攻 撃 も 可 能 である 最 近 では さらに 高 度 な 機 能 を 持 った トロイ の 木 馬 ( 不 正 プログラム)も 見 つかっている 最 新 のトロイの 木 馬 は 顧 客 の PC に 感 染 しても 通 常 は 何 もせずに 潜 み インターネットバンキング で ID/パスワード 等 が 入 力 され 認 証 が 済 んだ 時 点 で 初 めて 活 動 を 始 め 予 め 仕 組 まれた 不 正 送 金 等 の 指 図 を 勝 手 に 行 ったり 外 部 からリモートで 指 示 を 受 けながら 不 正 な 指 図 を 行 ったりするよ うである(PC ハイジャック) このように 犯 罪 の 手 口 はどんどん 巧 妙 化 しつ つあり 将 来 どんな 脅 威 に 晒 されることになるの か 予 想 することも 難 しくなっている セキュリティ 強 化 に 向 けて1 推 奨 される 二 要 素 認 証 インターネットバンキングを 巡 るフィッシン グ 等 の 犯 罪 は 利 用 者 サイドから 本 人 確 認 情 報 を 盗 取 ないし 詐 取 することによって 行 われるもの が 多 い したがって 利 用 者 に 対 する 注 意 喚 起 が 最 も 大 事 なことである 実 際 各 金 融 機 関 では 利 用 者 のセキュリティ 啓 蒙 に 力 を 入 れている しか しながら 一 方 で 一 般 的 な 利 用 者 に 対 し 専 門 的 な 知 識 を 有 するセキュリティ 対 策 を 完 璧 に 実 施 させるのは 実 効 的 でないのも 事 実 である そこ で 金 融 機 関 としては 正 当 な 利 用 者 であること を 確 認 する 本 人 認 証 手 段 を 強 化 することに よって 不 正 行 為 者 によるなりすましを 困 難 にし 仮 に 利 用 者 がフィッシング 等 の 攻 撃 を 受 けても 実 害 を 被 り 難 くすることが 重 要 となってくる もはや 従 来 型 の 認 証 手 段 であるパスワード 等 だけで 十 分 なセキュリティを 確 保 することは 困 難 であり 本 人 確 認 情 報 は 盗 まれる 可 能 性 がある ことを 前 提 とした 対 策 が 必 要 となっている 例 え ば 複 数 の 異 なる 有 効 な 認 証 手 段 を 組 み 合 わせた いわゆる 二 要 素 認 証 ないし 多 要 素 認 証 に よって 認 証 を 強 化 することが 推 奨 される 海 外 でも 公 的 な 機 関 が 二 要 素 認 証 を 推 奨 する 動 きが 盛 んである 米 国 では 2005 年 10 月 FFIEC (the Federal Financial Institutions Examination Council: 米 国 連 邦 機 関 検 査 協 議 会 )が インターネットバンキ ングで 用 いられる 認 証 に 関 する 指 針 (Authentication in an Internet Banking Environment)を 改 訂 し 2006 年 末 までに 二 要 素 認 証 を 導 入 するよう 推 奨 してい る これを 受 け 迫 りつつある 本 年 末 の 期 限 を 前 にして 米 国 の 金 融 機 関 は 揃 って 対 応 に 追 われて いる フランスでは 2004 年 10 月 CFONB (Comité Français d Organisation et de Normalisation Bancaire: 仏 国 3

金 融 標 準 化 委 員 会 )が インターネットによるオン ライン 取 引 や 金 融 サービスについて ISO/IEC15408(セキュリティ 管 理 にかかる 国 際 標 準 規 格 )に 準 拠 したプロテクション プロファイル (PP:セキュリティ 要 求 仕 様 書 )を 策 定 し(A protection profile for online banking and financial services) 金 融 当 局 も 早 期 にこれに 基 づいた 実 装 を 行 うことを 推 奨 している また ドイツでも ZKA(Zentraler Kreditausschuss: 金 融 業 界 中 央 信 用 委 員 会 )が 金 融 取 引 サービスのセ キュリティに 関 する 標 準 FinTS(Financial Transaction Service)を 策 定 し PIN/TAN(Personal Identification Number/ Transaction Number)と 呼 ばれるワンタイムパ スワード( 後 述 ) 等 を 使 った 認 証 の 標 準 化 を 行 っ ている さらに 金 融 当 局 が 中 心 となって 二 要 素 認 証 を 推 進 中 の 香 港 台 湾 や 官 主 導 で PKI(Public Key Infrastructure : 公 開 鍵 暗 号 に 基 づいて 電 子 署 名 や 相 手 認 証 を 実 現 するためのインフラとなる 技 術 )の 普 及 を 図 っている 韓 国 といった 事 例 もある セキュリティ 強 化 に 向 けて2 重 要 性 を 増 す 不 正 取 引 監 視 二 要 素 認 証 はフィッシングに 対 する 有 効 なセ キュリティ 対 策 であるが 利 用 者 と 金 融 機 関 の 間 に 不 正 に 介 在 して 取 引 指 図 を 改 竄 する 中 間 者 攻 撃 や PC ハイジャック 型 の トロイの 木 馬 ( 不 正 プログラム)に 対 してはあまり 効 果 がない 本 人 認 証 をパスする 手 順 自 体 は 正 規 の 利 用 者 に 実 行 さ せ 認 証 が 通 ってから 不 正 行 為 を 働 くからである このような PC ハイジャック 型 のトロイの 木 馬 等 に 対 しては 通 常 の 方 法 で 本 人 認 証 のセキュリ ティを 強 化 するだけでは 限 界 があり 被 害 を 防 ぐ ことは 困 難 である BOX 本 人 認 証 とは 本 人 認 証 とは 本 人 の 真 正 性 すなわちサービスを 受 けるためにあらかじめ 契 約 を 結 んでいる 本 人 に 間 違 いないということを 確 認 することを 意 味 する 本 人 認 証 の 方 法 は 1 本 人 所 有 によるもの 2 本 人 知 識 によるもの 3 本 人 固 有 の 特 徴 によるもの と その 利 用 する 要 素 によって 大 きく 3 つに 分 類 することができる 本 人 所 有 によるもの は 鍵 や ID カード 等 正 当 な 本 人 しか 持 ち 得 ないはずの 物 を 所 有 していることにより 認 証 する 方 法 であ る 鍵 や ID カードが 盗 まれたり 複 製 が 作 られたりすると 第 三 者 による 成 りすましを 行 うことが 可 能 であるほか 本 人 が 紛 失 する 危 険 性 もある 本 人 知 識 によるもの は 暗 証 番 号 やパスワード 等 正 当 な 本 人 しか 知 らないはずの 情 報 を 示 すことにより 認 証 する 方 法 であり コンピュータ システ ムのアクセス コントロール 等 で 使 われている ただし 他 人 が 容 易 に 想 像 できるようなパスワード を 使 用 したり 他 人 に 漏 れたりすることによって 第 三 者 に 容 易 に 成 りすまされる 危 険 性 があるほか 本 人 が 忘 れてしまう 危 険 性 もある 本 人 固 有 の 特 徴 によるもの は いわゆる 生 体 認 証 であり 指 紋 静 脈 虹 彩 顔 といった 本 人 の 特 徴 を 使 う 場 合 と 声 紋 筆 跡 キーストロークの 癖 といった 本 人 の 特 性 を 使 う 場 合 とがある 二 要 素 認 証 および 多 要 素 認 証 とは これらの 二 つないし 二 つ 以 上 の 異 なる 要 素 に 分 類 される 認 証 方 式 を 組 合 わせた 本 人 確 認 方 法 のことである BOX ATM 取 引 は 二 要 素 認 証 か? ATM 取 引 では 従 来 から 二 要 素 認 証 の 考 え 方 が 採 用 されている ATM から 現 金 を 引 き 出 す 場 合 には 1キャッシュカードを 保 持 し かつ2あらかじめ 登 録 してある 4 桁 の 暗 証 番 号 を 知 っている ということを 確 認 することによって 口 座 名 義 の 本 人 であることを 判 断 している しかしながら 1 磁 気 ストライプ 式 のキャッシュカードは カードの 偽 造 や 複 製 が 容 易 であり また 24 桁 の 暗 証 番 号 も 高 々1 万 通 りの 組 合 せしか 存 在 しないうえに 他 の 暗 証 番 号 と 共 用 していたり 類 推 されやすい 番 号 を 使 っていたりする 利 用 者 も 少 なくないことから 二 要 素 認 証 に 本 来 期 待 される 役 割 を 果 た しているとは 言 い 難 い どのようなセキュリティ 対 策 を 講 じるかは 各 行 が 提 供 するサービス 等 とのバランスを 考 慮 した 経 営 判 断 が 基 本 ではあるが 少 なくともキャッシュカードの IC カード 化 は 今 や 避 けては 通 れないもの と 考 えられる 4

こうした 攻 撃 に 対 応 する 一 つの 解 決 方 法 は 異 なる 通 信 経 路 を 組 み 合 わせる 二 経 路 認 証 の 採 用 である たとえば インターネットで 取 引 指 図 が 送 られると 事 前 に 登 録 してある 携 帯 電 話 にコー ルバックを 行 い 確 認 に 対 する 返 事 の 声 で 自 動 的 に 認 証 する(ボイス 認 証 ) 方 法 なども 考 えられてい る また すべての 資 金 移 動 の 取 引 指 図 をチェック する トランザクション 監 視 を 行 うことも 有 効 である これは 個 々の 取 引 のトランザクション を 監 視 し 過 去 の 不 正 取 引 事 例 や 各 利 用 者 の 従 来 の 取 引 パターンと 比 較 することによってリスク 評 価 を 行 い 通 常 の 正 当 な 取 引 とは 異 なる 不 規 則 な 取 引 については 不 正 な 取 引 指 図 の 可 能 性 があ るとして 一 旦 処 理 を 止 め 改 めて 追 加 で 認 証 処 理 を 行 ったり 4 電 話 等 で 直 接 確 認 が 取 れるまでは 実 行 しないといった 対 応 を 行 うものである こうしたトランザクション 監 視 による 不 正 取 引 検 知 は 偽 造 や 盗 難 の 被 害 が 多 いクレジット カードによる 取 引 では 普 通 に 行 われていること であるが 個 別 の 金 融 機 関 だけで 実 施 するより 不 正 な 接 続 先 IP アドレス 情 報 を 交 換 する 等 金 融 機 関 間 で 情 報 共 有 することが 有 用 と 考 えられる セキュリティ 強 化 に 向 けて3 常 に 重 要 な 利 用 者 啓 蒙 利 用 者 にインターネットバンキングを 使 うこ とに 伴 うリスクを 正 しく 認 識 してもらい 必 要 な 対 策 を 周 知 するのは 最 も 大 事 なことであり また 効 果 も 大 きいため いずれの 金 融 機 関 も 熱 心 に 取 り 組 んでいる パソコンのウィルス 対 策 に 始 まり 適 切 なパスワードの 管 理 方 法 フィッシングに 遭 わないように 正 当 なサイトを 見 分 ける 方 法 等 に ついて 非 常 にわかりやすい 解 説 を 行 っている 金 融 機 関 も 登 場 している ただ 利 用 者 を 啓 蒙 する 際 に これさえ 守 って いれば 安 心 という 万 全 の 対 策 は 決 して 存 在 しな い ということも 強 調 しておく 必 要 がある 例 え ば 正 当 なサイトの 見 分 け 方 にしても 最 近 ではルート 証 明 書 発 行 機 関 が 認 証 した 正 規 の サーバ 証 明 書 を 持 ったフィッシングサイトも 見 4 リスク 評 価 の 結 果 に 応 じて 認 証 のセキュリティレベルを 調 整 することから リスクベース 認 証 技 術 と 呼 ばれる サービ ス 利 用 者 に 過 度 な 負 担 をかけずに リスクを 回 避 する 方 法 として も 注 目 されている つかっており 今 後 さらに 予 想 も 出 来 ないよう な 手 口 が 登 場 する 可 能 性 もある もちろん フィッシングやスパイウェア 等 の 犯 罪 は 金 融 機 関 だけが 努 力 しても 撲 滅 することは 難 しい 最 近 では インターネットバンキングと はまったく 関 係 のない WEB ページを 閲 覧 したり メールを 開 いたりしたのが 原 因 で 利 用 者 の PC にインターネットバンキングを 標 的 とするスパ イウェアが 送 り 込 まれることも 多 い この 場 合 インターネットバンキングを 利 用 する 際 にだけ 注 意 してもあまり 意 味 がないことになる したがって 金 融 機 関 に 限 らず PC ベンダー プロバイダー 公 的 機 関 等 各 方 面 が 協 力 連 携 し 様 々な 対 策 や 啓 蒙 を 行 っていくことも 課 題 と なってくる 各 認 証 手 段 のセキュリティを 考 える 現 在 インターネットバンキングにおける 認 証 方 式 は 金 融 機 関 によって 区 々であり ATM によ る 現 金 引 出 しにおける 認 証 手 段 が キャッシュ カード + 4 桁 の 暗 証 番 号 と 統 一 されている のと 比 べると 対 照 的 である これは インター ネットバンキングは 自 行 の 顧 客 のみを 対 象 とし 相 互 運 用 性 を 考 慮 する 必 要 がないことから 独 自 性 を 発 揮 しやすいことが 理 由 の 一 つと 考 えられ る 日 本 の 多 くのインターネットバンキングで 取 り 入 れられている 認 証 方 式 は ID とパスワードに 加 え 予 め 配 布 した 乱 数 表 を 繰 り 返 し 使 用 し たり 第 二 第 三 のパスワードを 必 要 としたりす るものである 先 行 する 金 融 機 関 では 様 々な 対 策 を 試 みており そのいずれも 適 切 な 実 装 を 行 っ ていれば ある 程 度 の 効 果 が 期 待 できるものと 思 われる 一 方 で 想 定 する 脅 威 に 対 しては 有 効 で あっても 想 定 外 の 脅 威 に 対 しては 効 力 を 発 揮 で きないことも 多 い また 提 供 するサービスのレ ベル( 振 替 可 能 金 額 の 上 限 等 )に 比 べてセキュリティ レベルは 十 分 か という 問 題 がある セキュリティ 対 策 一 般 に 言 えることではある が リスクをゼロにすることは 不 可 能 であるため 採 用 しているセキュリティ 対 策 がどのような 有 効 性 を 持 ち その 限 界 はどの 辺 りにあるのかを 把 握 し 管 理 可 能 な 範 囲 にリスクを 押 さえ 込 む 適 切 なリスクマネジメントが 求 められる 以 下 では 現 在 選 択 肢 として 考 えられる 各 認 証 5

手 段 のセキュリティについて 考 察 する (1)ID/パスワード ベーシック 認 証 と 呼 ばれ 実 装 が 容 易 なことか ら 様 々なシステムで 使 われる 基 本 的 な 認 証 手 段 である セキュリティを 確 保 するためには 十 分 な 長 さを 持 った 一 見 ランダムな 文 字 列 からなる パスワードを 用 いることが 必 要 とされているが 類 推 しやすい 脆 弱 なパスワードを 設 定 している 利 用 者 が 多 いのが 現 実 である なお ほとんどの 金 融 機 関 のインターネットバンクのログイン 画 面 では リトライ 回 数 に 制 限 があるため 全 ての 文 字 列 の 組 合 せを 順 番 に 試 す 総 当 り 攻 撃 は 簡 単 には 成 立 しないと 考 えられているが パスワード を 固 定 して ID を 色 々と 変 えて 試 してみるという 無 差 別 攻 撃 もありうることには 注 意 する 必 要 が ある しかしながら 現 在 何 よりも 脅 威 なのは フィッシングやスパイウェア 等 による ID/パス ワードの 盗 取 であろう 最 近 では パスワードを 最 大 32 桁 まで 設 定 で きる 金 融 機 関 も 存 在 する 利 用 者 にセキュリティ を 高 めるための 選 択 肢 を 与 えているという 意 味 で 望 ましい 対 応 であろう ただし パスワードは 長 ければ 長 いほど 安 全 である 一 方 で 利 便 性 は 低 下 する 覚 えるのが 難 しくなるため 結 果 的 に 安 易 なパスワードが 設 定 されるおそれがある そし て 何 よりも フィッシングやスパイウェア 等 への 対 策 としては セキュリティの 強 化 に 繋 がるもの ではない なお 第 二 第 三 のパスワードを 設 定 して 認 証 を 強 化 する 方 法 も 考 えられる 複 数 のパスワード を 破 るにはそれなりに 手 間 はかかるようになる が やはり フィッシングやスパイウェア 等 への 対 策 としてはあまり 有 効 ではない こうした 中 昨 年 末 頃 より 金 融 機 関 の 間 でソ フトウェアキーボードを 導 入 することが 流 行 っ ている キーボードからの 入 力 を 記 録 するキーロ ガー 等 のスパイウェアへの 対 策 として 画 面 上 の バーチャルなキーボードをマウスでクリックし て 入 力 するというものである ただし マウスで 特 定 のキーをクリックした 瞬 間 の 画 面 を 犯 人 に 送 信 するスパイウェアも 発 見 されているので 万 全 な 対 策 ではない さらに こうした 脅 威 に 気 づ いている 金 融 機 関 の 中 には ソフトウェアキー ボードのキー 配 置 をランダムにするとともにク リック 時 にキー 表 示 を 消 す 対 応 を 図 っている 先 もあるが ( 暗 号 化 される 前 の) 送 信 データそのもの が 盗 聴 されるという 脅 威 に 対 しては 有 効 ではな い ソフトウェアキーボードによって 安 全 性 は 幾 分 か 向 上 するが この 対 策 には 限 界 があることを 認 識 しておくことも 必 要 である 結 局 二 要 素 認 証 のように 異 なる 性 質 を 持 っ た 有 効 な 認 証 方 法 を 組 み 合 わせることが 重 要 と いえる (2) 乱 数 表 金 融 機 関 から 利 用 者 ごとに 異 なる 数 字 が 羅 列 された 表 ( 例 えば5 5 等 の 二 桁 の 数 字 )が 予 め 配 布 され ログインのたびに 指 定 された 箇 所 の 数 字 を 入 力 することによって 認 証 するものである 仮 に キーロガー 等 によりログイン 時 に 使 用 する 本 人 確 認 情 報 が 漏 れたとしても 次 回 のログイン 時 は 異 なる 箇 所 の 数 字 を 要 求 されるため 比 較 的 安 全 とされている しかしながら たかだか20 数 個 程 度 の 二 桁 の 数 字 が 繰 り 返 し 使 用 されるわけで あり 認 証 時 の 入 力 が 何 回 か 盗 聴 されるとなりす ましが 可 能 になるおそれがある また ログイン 画 面 を 開 くたびにランダムな 箇 所 の 数 字 を 要 求 し 直 すつくりになっている 場 合 には 攻 撃 者 がキャンセルを 繰 り 返 すことによっ て 自 分 にとって 都 合 のよい 箇 所 が 指 定 されるま で 指 示 の 出 させ 直 し を 行 うことが 可 能 であり 一 箇 所 の 数 字 が 漏 洩 しただけでも 成 りすましが 可 能 になることが 指 摘 されている さらには ソーシャルエンジニアリング 5 の 技 法 を 使 って 利 用 者 を 言 葉 巧 みに 欺 き 一 度 に 複 数 の 任 意 の 箇 所 の 数 字 を 効 率 よく 入 力 させ これを 不 正 に 入 手 す る 攻 撃 も 考 えられる (3)ワンタイムパスワード ワンタイムパスワードは 使 い 捨 てパスワード とも 呼 ばれ 本 人 認 証 の 都 度 有 効 なパスワード が 変 化 することから 仮 にある 取 引 においてパス ワードを 入 力 する 場 面 を 見 られたり 盗 聴 された りしたとしても 次 回 有 効 なパスワードを 推 測 す 5 技 術 的 な 行 為 ではなく 社 会 的 な 手 段 によって セキュ リティ 上 重 要 な 情 報 を 見 つけ 出 す 行 為 の 総 称 代 表 的 なものとし ては パスワードを 入 力 するところを 後 ろから 盗 み 見 たり オ フィスから 出 る 書 類 のごみをあさってパスワードや 手 がかりと なる 個 人 情 報 の 記 されたメモを 探 し 出 したり 身 分 を 偽 って 電 話 をかけて 情 報 を 聞 き 出 すなどの 行 為 がある 6

ることが 出 来 ないため 第 三 者 による 成 りすまし が 困 難 というものである ワンタイムパスワードには 1 事 前 にリストを 配 布 するタイプ 2 必 要 の 都 度 トークン 等 の 機 器 で 発 生 させるタイプ 3 必 要 の 都 度 別 の 通 信 経 路 で 連 絡 するタイプ 等 がある 1 事 前 にリストを 配 布 するタイプ 50~100 個 程 度 のランダムな 数 字 が 印 刷 された スクラッチカードを 予 め 渡 され 取 引 の 都 度 順 番 ないし 指 示 された 箇 所 を 削 って 現 れた 数 字 を パスワードとして 使 うものである ドイツなどで は 昔 から itan と 呼 ばれ 広 く 使 われている 低 コ ストで 導 入 が 可 能 なのがメリットであるが 未 使 用 の 複 数 箇 所 の 数 字 を 入 力 するよう 促 すフィッ シング 攻 撃 が 行 われた 例 もある 2 必 要 の 都 度 トークン 等 の 機 器 で 発 生 させるタ イプ 個 々の 顧 客 に 割 り 当 てられた 専 用 の 機 器 に 表 示 される 数 字 をパスワードとして 使 うものであ り 一 定 時 間 毎 ( 例 えば1 分 毎 )に 数 字 が 変 わるタ イムベースのものと 使 用 する 度 に 毎 回 変 化 する イベントベースのものがある さらに 単 体 で 機 能 するトークンを 使 ったタイプと ワンタイムパ スワードを 生 成 するソフトウェアを 組 み 込 んだ IC キャッシュカードを 専 用 の 表 示 装 置 に 挿 入 し て 使 うタイプのもの 等 が 存 在 する なお トーク ン 自 体 の 盗 難 にも 配 慮 し 使 用 にあたって PIN( 暗 証 番 号 )の 入 力 を 求 められる 機 器 もある これら の 機 器 は 比 較 的 安 全 とみられているが 専 用 の 機 器 を 用 意 しなければならないためコストがかか るのが 難 点 である 導 入 コストを 抑 える 観 点 からは ワンタイムパ スワードを 生 成 するアプリケーション 等 を 利 用 者 の 所 有 する 携 帯 電 話 にダウンロードして 動 作 させるソフトトークンタイプのものも 存 在 する ただし 携 帯 電 話 のアプリケーション 機 能 の 安 全 性 は 不 明 な 部 分 も 多 く コピーが 作 られる 可 能 性 が 否 定 できないほか タイムベースの 場 合 内 蔵 時 計 を 意 図 的 に 進 めることによって 将 来 の 特 定 の 時 刻 において 有 効 となるパスワードを 予 め 手 に 入 れることが 出 来 るといった 点 にも 留 意 すべ きである 3 必 要 の 都 度 別 の 通 信 経 路 で 連 絡 するタイプ 取 引 の 都 度 インターネットとは 別 の 通 信 経 路 で リアルタイムにパスワードが 送 られてくる 方 法 等 である 代 表 的 なものとしては あらかじめ 登 録 されている 携 帯 電 話 の SMS(ショートメッセー ジサービス) 等 にパスワードが 送 られてくる mobile-tan 等 がある インターネット 以 外 に 別 の 通 信 経 路 を 使 っているため 二 経 路 認 証 にも なっている なお ワンタイムパスワードではないが 携 帯 電 話 を 使 った 他 のセキュリティ 対 策 としては 携 帯 電 話 自 体 を 認 証 トークンとして 位 置 付 け 取 引 の 際 に 携 帯 電 話 にコールバックを 行 い 通 常 のパ スワードを 携 帯 電 話 経 由 で 送 信 することによっ て 認 証 するタイプのものや 予 め 携 帯 電 話 によっ て 口 座 のロックを 解 除 する 連 絡 をしないと 資 金 移 動 が 出 来 なくするといった 方 法 も 存 在 する (4)PKI 認 証 PKI を 使 った 利 用 者 認 証 は 電 子 証 明 書 を IC カードに 格 納 する 等 適 切 な 管 理 を 行 えば 安 全 性 は 高 いと 考 えられる 6 公 開 鍵 を 使 った 認 証 では いわゆるチャレンジ レスポンス 認 証 7 を 行 うことが 通 常 であり 回 線 を 流 れる 情 報 が 毎 回 異 なるため 盗 聴 やフィッシン グに 対 しても 強 い ただし 導 入 コストが 高 い 上 に ユーザーの 運 用 負 担 が 煩 雑 であるため 海 外 においてもあまり 普 及 した 例 がない ただし 韓 国 のように 官 主 導 で 取 り 組 んでいる 国 もあり 今 後 の 動 向 が 注 目 される (5) 生 体 認 証 ATM から 現 金 を 引 き 出 す 際 の 認 証 手 段 として は 指 静 脈 認 証 手 のひら 静 脈 認 証 を 導 入 する 金 融 機 関 が 増 加 しつつある こうした 生 体 認 証 をイ ンターネットバンキングにおいて 使 用 すること も 考 えられる しかしながら 利 用 者 の 生 体 情 報 をどこで 管 理 するのかといった 問 題 に 加 え 利 用 6 IC カード 認 証 の 実 現 方 式 のひとつとして PKI を 使 った 公 開 鍵 認 証 がある 7 相 手 に 対 してランダムな 値 (チャレンジ)を 送 信 し 相 手 はこのチャレンジを 暗 号 化 (レスポンス)して 送 信 元 に 返 す この 返 されたレスポンスと 元 のランダム 値 から 自 ら 計 算 した 値 を 比 較 することにより 相 手 を 確 認 する 認 証 方 式 をチャレンジレ スポンス 認 証 という 認 証 の 度 に 違 うランダム 値 を 使 用 するので 盗 聴 などに 対 して 強 い 7

者 の 管 理 するパソコンに 生 体 認 証 読 取 機 器 等 を 取 付 けることによって 生 じるセキュリティ 上 の 問 題 および 当 該 機 器 の 配 布 コスト 生 体 情 報 の 登 録 / 抹 消 を 適 切 に 運 用 するのにかかる 負 担 と いった 観 点 では ATM 取 引 に 比 べると 解 決 すべき 問 題 は 多 いと 考 えられる yasushi.nakayama@boj.or.jp)までお 知 らせ 下 さい なお 日 銀 レビュー シリーズおよび 日 本 銀 行 ワーキングペー パーシリーズは http://www.boj.or.jpで 入 手 できます (6)その 他 予 め 利 用 者 が 登 録 した 設 問 を 表 示 し これに 答 えることによって 認 証 するチャレンジ 質 問 と いった 認 証 手 段 も 存 在 する 設 問 の 表 示 と 併 せて 登 録 した 画 像 やコメントを 表 示 させることに よって 逆 に 利 用 者 が 正 当 なサイトであることを 確 認 することができるケースもある こうした 認 証 のセキュリティレベルは その 設 定 する 設 問 の 内 容 に 拠 る 所 が 大 きく さほど 強 度 の 高 い 手 段 で あるとは 考 えにくい しかしながら 様 々な 取 引 監 視 機 能 と 連 動 させ 評 価 したリスクが 大 きい 場 合 には 別 の 手 段 を 用 いる 等 リスクに 応 じて 適 切 にチャレンジ 質 問 を 活 用 するということであれ ば 取 引 の 安 全 性 を 高 めることに 資 すると 考 えら れる 最 後 に 最 近 では フィッシングサイトを 発 見 すると これを 削 除 する 前 に おとり のパソコンを 用 意 して 偽 の 本 人 確 認 情 報 を 大 量 に 入 力 し 騙 され た 人 の 有 効 な 本 人 確 認 情 報 を 紛 れさせてしまう といった 積 極 的 防 御 ともいえるようなユニーク なサービスを 提 供 するセキュリティベンダーも ある 攻 撃 側 の 進 歩 にあわせ 守 る 側 のセキュリ ティ 対 策 も 進 化 しているのである 先 々どのような 攻 撃 が 出 現 するかは 予 想 出 来 ないのがインターネットの 世 界 である 金 融 機 関 としては 常 に 最 新 の 犯 罪 動 向 およびその 対 策 方 法 の 動 向 を 把 握 し 十 分 に 効 果 を 考 えながら 適 切 かつ 機 動 的 に 対 応 していくことが 求 められてい る 日 銀 レビュー シリーズは 最 近 の 金 融 経 済 の 話 題 を 金 融 経 済 に 関 心 を 有 する 幅 広 い 読 者 層 を 対 象 として 平 易 かつ 簡 潔 に 解 説 するために 日 本 銀 行 が 編 集 発 行 し ているものです ただし レポートで 示 された 意 見 は 執 筆 者 に 属 し 必 ずしも 日 本 銀 行 の 見 解 を 示 すものではあ りません 内 容 に 関 するご 質 問 および 送 付 先 の 変 更 等 に 関 しまして は 日 本 銀 行 決 済 機 構 局 中 山 靖 司 (E-mail: 8