ネットバンキングを狙う「DreamBot」が猛威 今すべき対策は半径300メートルのIT(2/2 ページ)

» 2017年03月22日 08時00分 公開
[宮田健ITmedia]
前のページへ 1|2       

感染を防ぐには“まず基本を押さえること”

 今回のようなマルウェアは、感染経路として「電子メール」が利用されています。電子メールによる感染は、「見ただけで感染させる」か、「添付ファイルをクリックさせる」かの2通りがあります。

 “見ただけで感染させる”というのはかなり高度で、これには「脆弱性を攻撃する」必要があります。脆弱性の攻撃に一番効くのはアップデート。OS、ブラウザ、プラグイン類はアップデートして備えましょう。

 しかし、問題は「添付ファイルのクリック」です。ここで攻撃されるのは人の脆弱性です。人の脆弱性には「正しい情報」が一番効きます。上記のような注意喚起を、是非ご一読ください。

 さらに、ちょっと変わった手法もあります。今回のマルウェアは「.js」や「.scr」といった、普通の人なら「そのまま実行する必要がない」拡張子が使われています。そのため、Windowsでこれらの設定を変えれば……。勘のいい人ならお気付きでしょう。そんなことを聞いた動画を公開しています。ぜひどうぞ。

根本的な対策は? 「銀行」にしかできないことがある

 今回のマルウェアは、これまで有効だと思っていた手法だけでは足りないことをまざまざと見せつけています。そっくりなサイトを作ってだます「フィッシング」という手法は、URL欄を見れば見抜くこともできました。Webサイトに不正なサイトを埋め込んだとしても、「SSLサーバ証明書」の錠のマークが表示されなければ見抜けます。

 しかし、以前も紹介した「マン・イン・ザ・ブラウザ」という攻撃手法では、正しいサイト、正しい錠のマークが表示されていても、情報をとられてしまいます。そのため、根本的な対策として、銀行側による「トランザクション認証」などの新たな仕組みが望まれます。

 残念ながら、まだまだ対応する銀行も少ないですし、その必要性も浸透していないのが現状です。徐々に改善されるよう、私も微力ながら継続的に声を上げていきたいと思っています。

残念ながら「100%の対策はない」 だからこそ継続的な情報収集を

 今回のDreamBot/Goziなどについては、これまでの基本である「OS、アプリケーションのアップデートを行う」「セキュリティ対策ソフトを入れ、アップデートを行う」「ワンタイムパスワードなどの金融機関が提供する不正送金対策を行う」といった対策が必要です。そして「意図しないログイン履歴がないか、自分の口座の入出金明細等を定期的に確認する」などの対策も有効でしょう。

 しかし、「定期的に明細を確認する」のは、案外、難しいかもしれません。私も銀行の通帳を数年記帳せずにいたこともあります。インターネットバンキングを使うようになって、全く入出金記録を見なくなった人も多いでしょう。この点については、一部のネットバンクにある「入金/出金/振り込みのたびに手元にあるスマホに連絡が来る」機能が、無料で誰でも利用可能になるといいと思います。スマホへのプッシュは気付きやすく、個人用途では最適ですからね。

 それに加え、やはりPCがマルウェアに感染しないこと、感染してもそれに気付けることが重要でしょう。個人においても企業同様「多層防御」の考え方が必要になっています。

 ちょっと面倒な状況ではありますが、自分のお金を守るため。まずは情報を定期的に受け取れるよう、警察庁をはじめ関係各所のTwitterアカウントをフォローすることもお勧めします。

Photo

著者紹介:宮田健(みやた・たけし)

デジタルの作法 『デジタルの作法』

元@ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

筆者より:

2015年2月10日に本連載をまとめた書籍『デジタルの作法〜1億総スマホ時代のセキュリティ講座』が発売されました。

これまでの記事をスマートフォン、セキュリティ、ソーシャルメディア、クラウド&PCの4章に再構成し、新たに書き下ろしも追加しています。セキュリティに詳しくない“普通の方々”へ届くことを目的とした連載ですので、書籍の形になったのは個人的にも本当にありがたいことです。皆さんのご家族や知り合いのうち「ネットで記事を読まない方」に届けばうれしいです。


前のページへ 1|2       

Copyright © ITmedia, Inc. All Rights Reserved.

注目のテーマ