IPAの今月の呼びかけ(1月) - 巧妙化した金銭的被害の手口からうかがえること

IPAは、コンピュータウィルスや不正プログラムの状況分析から、「今月の呼びかけ」を発表している。今月は、一般ユーザーも被害に遭う危険性が高い金銭的被害について紹介している。

より巧妙化が進む金銭的被害の手口

まず、IPAでは、2013年に金銭的な被害に直結する危険性が高い事例について、以下の4つ指摘している。

インターネットバンキングユーザーを狙った不正送金
過去の2倍以上となったWeb改ざん
偽の警告表示を行い、有償版の購入を求め、クレジットカード番号などを詐取する偽セキュリティ対策ソフト
従来の対策では、見破ることが難しくなった、スマートフォンのワンクリック請求アプリ

さて、この4つのうちWeb改ざん以外は、2013年初頭の呼びかけにおいても指摘されたものである。つまり、この数年、似たような手口を使い、一般ユーザーを騙そうとしている傾向が見えてくる。IPAでは、さらに「巧妙化」を指摘する。具体的にどのような手口なのか? 以下でみていきたい。

インターネットバンキングユーザーを狙った不正送金

IPAにおける不正送金に関するの相談件数は、上半期の20件から下半期の96件と4倍以上となった。その理由であるが、2013年4月に新たな手口が登場した。まず、Webメールのログイン情報を盗むウイルスに感染させる。次に、銀行からユーザーに送られたメールのワンタイムパスワードを盗み、不正送金を行う手口である(図1)。

図1 ワンタイムパスワードを盗み取る手口(出典:IPA)

従来は、ウイルス感染により、インターネットバンキングのログイン情報を盗み出すという手口であった。IPAによれば、従来の手口やフィッシングメールなどの手口も引き続き用いられているとのことである。

過去の2倍以上となったWeb改ざん

まずは、図2をみてほしい。

図2 Web改ざん件数の推移(JPCERT/CC公表のデータを基に作成)

2012年第三四半期以降急増している。こうして改ざんされたWebサイトは、脆弱性などを完全に解消していないPCで閲覧すると、それだけでウイルスに感染してしまう。従来のフィッシング詐欺では、いかに本物に似せても、IPアドレスなどは本物ではない。これを利用した防御策もあるが、本物のWebサイトを改ざんした場合には無力である。

クレジットカード番号などを詐取する偽セキュリティ対策ソフト

偽セキュリティ対策ソフトも、2012年の354件から2013年の889件と大幅に増加した。偽のウイルスに感染したという警告を表示し、偽のセキュリティ対策ソフトの購入を迫る。似たよう手口だが、PC内のデータを暗号化したり、画面表示などを乗っ取り、使用可能にするには金銭を要求するランサムウェアも22件報告された。

図3 ランサムウェアによる被害イメージ(出典:IPA)

偽セキュリティ対策ソフトでは、クレジット番号情報などが詐取されるが、被害金額自体は数千円くらいである(セキュリティ対策ソフトの価格に等しい)。ランサムウェアの場合は、10万円以上のケースあり、被害レベルが拡大している。これまでは、海外で多く検出されたが、国内でも流行の兆しがある。

巧妙化するスマートフォンのワンクリック請求アプリ

ワンクリック詐欺でも、2013年は巧妙化がみられた。図4を見てほしい。

図4 ワンクリック請求における新旧手口の比較(出典:IPA)

従来は、インストールの際に必要なアクセス権限(パーミッション)を確認することで、本来の機能とは無関係な場合、不正アプリと疑うことができた。しかし、新たな手口では、このようなアクセス権限を求めることはしない。図4では、インターネットアクセスしか要求していない。これだけから不正アプリと判断するのは難しいだろう。インストールされると、アプリ内に設定されたアダルトサイトを表示し、画面の指示通りに登録を行うことで請求画面となる。この請求画面は、アプリを削除するだけで復旧させることができる。また、このアプリは、個人情報を盗み出すような活動は行わないとのことだ。不正活動は地味だが、金銭を詐取されることもあり、立派な不正アプリといえる。

他にも、従来は公式なマーケットからダウンロードするといった方法も安全とされたが、もはやそれも安全の担保とはならない状況である。