ドコモ口座などの電子決済サービスで不正出金相次ぐ 求められるセキュリティ対策
~2020年9月の気になるセキュリティニュース~ セキュリティニュース

2020年10月7日

セキュリティニュース一覧

9月のトピックスを紹介します。

政府がインバウンド誘致や消費税増税による経済への影響を軽減するための対策として推進してきたこともあり、キャッシュレス決済が社会に浸透しつつあります。 その中において、9月はNTTドコモ、ゆうちょ銀行、SBI証券などの電子決済サービスでサイバー攻撃による不正出金の被害が相次いで報道されました。
現時点では、電子決済におけるセキュリティ対策の不足が問題とされており、決済サービス事業者や銀行などのセキュリティ対策の見直しが求められています。

・ドコモ口座などの電子決済サービス 銀行口座から不正出金
ドコモ口座経由で不正に銀行口座より金銭が引き出される被害が発生し、NTTドコモでは連携する銀行口座の新規登録を一時停止しました[1]。この一連の不正出金は、27日時点で全国11銀行、約2,800万円の被害が確認されています。利用者が電子決済を利用していなくても、普通預金口座があればその利用者の口座が第三者の電子決済用アカウントと紐付けされ、不正出金が可能となっていたことから、決済サービス事業者だけではなく銀行側のセキュリティ対策の甘さにも問題があるのではないかとの報道もなされています[2]。

・ゆうちょ銀行 不正引き出し 被害額拡大
ゆうちょ銀行は、22日時点でドコモ口座以外の電子決済サービスを通じた不正出金が380件で約6,000万にのぼることを公表しました。提携するPayPayやLINEぺイ以外にも、同行が発行するVISAデビット・プリペイドカードの「mijica」でも不正出金が明らかになっており、二要素認証導入の遅れが一因ではないかとの報道がなされています[3]。同行は、キャッシュレス決済サービスを利用する顧客550万人の全口座について、不正引き出しの被害の有無を確認し調査するとしています[4]。

・SBI証券、顧客資金9864万円が流出 偽口座に送金
SBI証券は、不正アクセスを受け、顧客の預かり資産9,864万円が不正に出金されたことを発表しました[5]。第三者が何らかの方法で入手した顧客のアカウント情報や取引パスワードが悪用され、偽造した本人確認書類によって開設された別の金融機関の口座に送金されたとのことです。同社では、自社システムに不正アクセスの形跡はなく、フィッシング攻撃やパスワードリスト攻撃などの可能性があるとして調査を進めています[6]。

9月の主なマルウェア・不正アクセス関連の記事を紹介します。

・マルウェア Emotet の感染拡大および新たな攻撃手法について
JPCERT/CCは、マルウェア「Emotet」の感染拡大と、新たな攻撃手法について注意喚起を公開しました[7]。これまでは、メールに Emotet の感染を引き起こす Word 形式のファイルが添付されていましたが、新たにパスワード付きzipファイルを添付し、パスワードはメール本文中に記載されているケースなども確認されています。
この場合、メール配信経路でのセキュリティ製品による検知や検疫をすり抜ける場合もあることから、同機構では注意を呼びかけています[8]。

9月の主要なOS、ミドルウェアにおけるインシデントを紹介します。

該当する製品を利用されている場合は、システムへの影響などに鑑み、対策などを速やかに実施することが推奨されています。

・Netlogon の特権の昇格の脆弱性(CVE-2020-1472)への注意喚起
JPCERT/CCは、Windowsサーバーの脆弱性(CVE-2020-1472)について注意喚起を公開しました[9]。Active Directoryで利用されているNetlogonリモートプロトコル(MS-NRPC)を悪用する脆弱性で、ドメインコントローラにNetlogonセキュアチャネルの接続を確立する場合に、特権の昇格が行なわれてしまうとのことです。
本脆弱性に対する攻撃コードも公開されており、同機構では注意を呼びかけています。

その他、政府・業界動向などに関連する記事を紹介します。

・総務省、テレワークセキュリティのチェックリストを公表
総務省は、中小企業などに向けたテレワークセキュリティのチェックリストを公表しました[10]。新型コロナウイルスの感染拡大予防の観点から、中小企業においてもテレワークの導入が広まる中、セキュリティの専任担当がいないような中小企業のシステム管理担当者を対象とし、テレワークを実施する際の最低限のセキュリティを確実に確保するための手引き(チェックリスト)としています。

・日本シーサート協議会、CSIRT対応プラクティス集を公開
日本シーサート協議会は、「新型ウイルス感染リスク禍におけるCSIRT活動で考慮すべきこと  -CSIRT対応プラクティス集-」を公開しました[11]。新型コロナウイルス感染症の拡大や緊急事態宣言下におけるテレワーク利用状況下でのインシデントの検知や対応体制の維持に向けて、同団体へ参加するCSIRTが実際に検討した事項や対応事例などを取りまとめたものとなっています。

最後に

本記事は、2020年9月に報道されたセキュリティニュースを基に、特に注目するセキュリティ情報を掲載しています。
注目するセキュリティニュースをまとめて掲載することで、読者の皆さまがよりセキュリティに興味を持ち、日々の対策にご活用いただくきっかけとなれば幸いです。


京セラコミュニケーションシステム株式会社
セキュリティニュースチーム

出典

掲載されている情報は、発表日現在の情報です。最新の情報と異なる場合がありますのでご了承ください。

ページトップへ