オンライン・バンキングに対するMan-in-the-Browser攻撃への対策 「取引認証」の安全性評価

鈴木雅貴、中山靖司、古原和邦 国内のインターネットバンキングにおいて、ログイン後に乱数表のすべての情報等の入力を求める「偽画面」を表示するフィッシング詐欺が昨年後半より発生している。こうした攻撃は、ユーザPC内のウイルスが通信内容を盗取・改ざんすることで可能となっており、「Man-in-the-Browser攻撃」と呼ばれている。同攻撃への対策としては、取引の内容を本人が認証する「取引認証」が海外の一部の金融機関において導入され始めているが、情報セキュリティ研究者の間で取引認証方式の安全性を統一的に評価する枠組みが確立されていないのが実情である。そこで、本稿では、取引認証を用いたインターネットバンキングにおける「Man-in-the-Browser攻撃」への対策について検討した。具体的には、インターネットバンキングに用いるブラウザとは異なるソフトウエアや端末・ハードウエア（ICカード、携帯