三井住友銀行等で発生している自動送金するマルウェアを使った不正送金に関連する情報をまとめてみた - piyolog

三井住友銀行が注意喚起をした自動送金するマルウェアを使った不正送金の手口についてここではまとめます。 三井住友銀行で発生した自動送金マルウェアによる不正送金の概要 2014年5月12日、三井住友銀行が同社のオンラインバンキングの利用者を対象にした不正送金被害が発生していると注意喚起を発表しました。不正送金の被害を受けた原因は利用者の端末がマルウェアに感染していたためとみられています。 インターネットバンキングの情報を盗み取ろうとするコンピューターウィルスを使った新たな手口について インターネットバンキング（SMBCダイレクト）の情報を盗み取ろうとするコンピュータウィルスにご注意ください（平成26年5月12日更新） (1) 被害状況 被害対象サービス SMBCダイレクト 被害件数 数十件 発生時期 2014年3月下旬以降 被害が確認されているのは個人向けで、法人向け出の被害は確認されていない

[sato0427]

正規ログイン後に送金処理だけマクロが発動するのか。全画面レイヤーかけられたら気付けないだろこれ。／処理途中のURLやボタン名をランダムにして自動処理させないとか？その程度もうしてる？

[y-kawaz]

マルウェア仕込まれてる時点でアレだけど。でも最近はexeとか以外でも、例えばhttps://*へのアクセス許可を求めるブラウザ拡張なんかも普及後の自動アップデートにそっと仕込むとか出来ちゃうし。危険への想像力が必要。

[kenzy_n]

カウボーイビバップのエピソードにて通行料の徴収時に似たようなことが起きていたな

[megazalrock]

ブコメでチェスマスターヘックスを想像した人が他にもいて驚いた。／全財産取られなかっただけマシか・・・。

[TakamoriTarou]

とりあえずユーザ側ではウイルス対策を徹底とか一般的な対策しかできんな…。鯖側で、人間ではあり得ないほどの高速な操作があった場合、途中で必ずワンタイムパスワードが失効する程度のタイムラグを入れるとか。

[mkusunok]

やっぱり今後OTPではなくセカンドチャネルで認証しなきゃダメだね

[stealthinu]

これはちょっと気がつくの難しいだろう。ワンタイムパスワード使ってるし、ということで安心感あるぶん逆に騙されそう。

[tetzl]

まだデザインでわかるけど時間の問題だなこれは。端末もPW入力者も正規だから怖い。送金情報をwebで登録して決済を電話でするとかなったりして…｜徳丸さんtweetの「OTPはマスクしてはいけない」というのがハッとした

[cabinotier]

明細の確認の為にネットバンキング使いたいけどこういう問題のリスク背負いたくないから使えない。明細参照専用のアカウント作らせてくれないもんかね。

[sho]

MITBされたら対抗手段はほとんどないってことよのぅ。残るはトランザクション署名か。

[shioki]

"不正送金の被害を受けた原因は利用者の端末がマルウェアに感染していたためとみられています"

[nextworker]

ルーターのファイアウォールに銀行送金モードを作ろうかな。オンラインバンキングにアクセスしたら、ワンタイムパスが有効な時間中は他サイト向けのパケットを一切通さないように設定しちゃう。

[uturi]

ワンタイムパスワードでも突破されたってのが怖すぎる。情報読み取りとログインがほぼリアルタイムで行われてそう。

[tatsujik]

ワンタイムパスワードに切り替えようとしているのに・・・。まじか。

[khtokage]

とても良いまとめ。是非広く読まれて欲しい。 三井住友銀行等で発生している自動送金するマルウェアを使った不正送金に関連する情報をまとめてみた - piyolog

[delphinus35]

数ヶ月に一辺使う程度だと絶対に気づけないね。定期的にログインしてれば異常な動作（ログイン時にプログレスバーなんて出ない）がわかるのだが……

[naqtn]

まだ画面例が、知識があれば「そりゃないわ」と思えるものだが、今後もっと洗練される可能性を考えた方がよさそうだ。

[longroof]

おっと(；´Д｀)

[ot2sy39]

第二暗証を要求される場面はどこなのかを知るのが最大の対策だな。ワンタイムパスワードはご愁傷様。

[naglfar]

ワンタイムパスワード使っててもこうなるのか……こわい。

[a2de]

同種のマルウェアは海外では2年前から確認されている／日本語化されちゃったのね

[LNCQDGAN]

三井住友銀行

[rgfx]

どうすりゃいいんだろうね。パソ通みたくターミナルからコマンド打ち込むのが一番？CEFを.netでくるんでコード署名した専用ブラウザでも配る？

[Cujo]

使ってるの三井住友じゃないからいいや、とはならないなこりゃ。

[yo-11-06]

前から思ってたんだけど銀行とかのセキュリティって徳丸さんとか高木さんみたいな第三者セキュリティ機関に確認してもらわないのかな。

[naga_sawa]

これが Man in the Browser 攻撃か/端末が汚染されてたらトークンとか生体認証とかでも防げない気がする

[kemononeko]

こんなん防ぎようが無い

[baca-aho-doji]

ワンタイムパスも安心できないのか。嫌な世の中になって来ましたね。こればっかりは自分で気をつけるしかないからなぁ。

[utsugisv]

三井住友銀行等で発生している自動送金するマルウェアを使った不正送金に関連する情報をまとめてみた 三井住友銀行が注意喚起をした自動送金するマルウェアを使った不正送金の手口についてここではまとめます。 三井

[JULY]

昨日の NHK NEWSWEB で、ネットエージェントの杉浦さんが話していたのは、この件かぁ。Man in the Browser の話だよなぁ、とは思っていたけど。

[thyself2005]

三井住友のワンタイムパスワードカードのデザインや厚みがアレだし、いい機会なのでそこらへんの見直しも図ったら良いと思われ。

[shukaido170]

オンラインバンキングは早いところiOS・Android・Linux等に対応し、Windowsによる利用を非推奨にしてほしい。

[toriikengo]

うわー。うわー。うわー。