(57)【要約】      （修正有）【課題】ミュール口座への不正な送金取引を検出する方法を提供する。【解決手段】検出ソフトウェアモジュールが保護されるべきブラウザまたはウェブサイトに導入される。検出モジュールは、ウェブサイトのウェブページ上のコンテンツおよびウェブページ上で行われた行為の跡をたどり、マルウェアによって行われた不正なオンライン行為である可能性のある任意の例外的な行為／条件を検出し、不正取引を行うためのすべての機密データが入力されるまで待つ。次いで検出モジュールは、不正取引に使用されたミュール口座の詳細を記憶し、かつ／または転送する。【選択図】図１
2014086080.tif 000002
【特許請求の範囲】
【請求項１】
ミュール口座への不正な送金取引を検出する方法であって、
ａ）保護されるべきブラウザまたはウェブサイトへ検出ソフトウェアモジュールを導入し、
ｂ）前記検出モジュールが前記ウェブサイトのウェブページ上のコンテンツおよび前記ウェブページ上で行われた行為の跡をたどり、
ｃ）マルウェアによって行われた不正なオンライン行為である可能性のある任意の例外的な行為／条件を検出し、
ｄ）前記検出モジュールが、不正取引を行うためのすべての機密データが入力されるまで待ち、
ｅ）前記検出モジュールが、前記不正取引に使用された前記ミュール口座の詳細の記憶及び／または転送を行う、
方法。
【請求項２】
例外的な行為／条件が検出される場合に、現在の取引を不正なものとしてマークするように前記検出モジュールを構成する請求項１に記載の方法。
【請求項３】
予防措置を講じ、または前記不正取引について報告するように前記検出モジュールを構成する請求項２に記載の方法。
【請求項４】
前記検出モジュールが、遮断されるべき複数のミュール口座を集約し、記憶する請求項１に記載の方法。
【請求項５】
不正取引がマルウェアによってＡｊａｘを使用して生成される、請求項１に記載の方法。
【請求項６】
前記マルウェアが、リモートサーバから取引ごとにリアルタイムでミュール口座を取得するたびに、前記検出モジュールは前記取得を検出し、現在の取引を不正なものとしてマークする、請求項１に記載の方法。
【請求項７】
前記マルウェアが不正取引フォームのフィールドに自動的に記入するたびに、前記検出モジュールは前記自動的記入を検出し、現在の取引を不正なものとしてマークする、請求項１に記載の方法。
【請求項８】
前記検出モジュールは合法ウェブページ内の目に見えないＩＦｒａｍｅを捜し出す、請求項１に記載の方法。
【請求項９】
前記検出モジュールは、合法取引ウェブページに組み込まれたＪａｖａＳｃｒｉｐｔコードスニペットである、請求項１に記載の方法。
【請求項１０】
前記予防措置が前記取引を遮断することである、請求項１記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、マルウェアの検出および防止の分野に関する。より詳細には、本発明は、ミュール口座を使用することによる、マルウェアに感染した被害者のコンピュータから詐欺師への不正な送金取引を検出し、防止する方法に関する。
【背景技術】
【０００２】
オンラインユーザの懸念が高まりつつあるのが、詐欺師によるオンラインユーザの個人情報の傍受または利用の可能性である。例えば、ユーザは、騙されて詐欺師に、または偽のウェブサイトに個人情報を提供し、詐欺師にオンライン取引を行わせてしまう恐れがある。
【０００３】
オンラインで行われる別の種類の不正行為が、詐欺の結果として得られる金の送金である。詐欺師は、不正取引の実行を目的としてその口座詳細を提供させるために合法の銀行口座を持つ人々（「ミュール（ｍｕｌｅ）」と呼ばれることが多い）を募集し、不正取引の間に、被害者（その口座から金が盗まれる人）の口座から、この募集された合法の銀行口座（「ミュール口座」と呼ばれることが多く、不正な送金を受け取る）へ金が振り込まれる。
【０００４】
潜在ミュールは、例えば、電子メール送信によって、求職ウェブサイトを介して、インターネットブログを通じてなど、様々な技法によって募集される。潜在ミュールは、嘘の話を納得させることによってその人の合法の銀行口座詳細を提供するよう誘われ、それによって、ある金額の金が後でミュールの銀行口座に受け取られ、ミュールには受け取った金の一部分が手数料として提供される。ミュールは差額を別の相手に振り込むよう指示され、多くの場合、不正行為の連鎖を生じることになる。例えば、ミュールは、知っていて、または知らずに、不正な送金を行うルート（仲介者）として働き、最終的にミュールは、振り込まれた（実際には被害者から盗まれた）金額を引き出し、引き出した金額を（例えば、ウエスタンユニオン（Ｗｅｓｔｅｒｎ  Ｕｎｉｏｎ）のようなリモート決済または当日決済取引システムを介してそれを預けることによって）詐欺師に渡す。このようにして、詐欺師を追跡し、有罪とすることがより難しくなる。このようにして、詐欺師は複数の合法口座を集めることができ、それらの口座は保管され、後で不正行為のためのミュール口座として使用されることになり、多くの場合、たとえ不正行為が特定されたとしても、ミュールが法執行当局によって標的とされることになる。しかし、自分が不正取引を実行するための仲介者として使われていたことを知らなかったとたいていは主張するミュールを有罪とすることは難しい。
【０００５】
被害者のブラウザがマルウェアに感染しているときに、マルウェアは、被害者がその銀行口座にログインするのを待ち、被害者が身分証明プロセスを完了し、ログインするやいなや、マルウェアは、銀行のウェブサイトの関連するウェブページ内での行為を開始することができる。
【０００６】
マルウェアの動作は目に見えないため、被害者がログインし、銀行の合法ウェブページ内部に入るやいなや、マルウェアは、現在のページで１つまたは複数の目に見えないＩＦｒａｍｅ（ＩＦｒａｍｅとは、銀行のドメイン上で取引ページを開くウェブページ上の所定のサイズおよび位置の要素である）を秘密裏に開き、ＩＦｒａｍｅを介してマルウェアは、被害者のブラウザに、同じウェブサイト内の新しい取引ページへナビゲートするよう強いる。全プロセスはこのＩＦｒａｍｅ内で行われ、このＩＦｒａｍｅは被害者には見えないが、マルウェアからアクセスすることができ、マルウェアによって制御される。
【発明の概要】
【発明が解決しようとする課題】
【０００７】
したがって、本発明の一目的は、被害者の合法口座からミュール口座への不正な送金を検出する方法を提供することである。
【０００８】
本発明の別の目的は、不正な振込みの受益者を特定する方法を提供し、別の不正行為を防止することである。
【０００９】
本発明の他の目的および利点は、説明が進むにつれて明らかになるであろう。
【課題を解決するための手段】
【００１０】
本発明は、ミュール口座への不正な送金取引を検出する方法を対象とし、この方法に従って、検出ソフトウェアモジュールが保護されるべきブラウザまたはウェブサイトへ導入される。検出モジュールは、ウェブサイトのウェブページ上のコンテンツおよびウェブページ上で行われた行為の跡をたどり、マルウェアによって行われた不正なオンライン行為である可能性のある任意の例外的な行為／条件を検出し、不正取引を行うためのすべての機密データが入力されるまで待つ。次いで検出モジュールは、不正取引に使用されたミュール口座の詳細を記憶し、かつ／または転送する。
【００１１】
検出モジュールは、例外的な行為／条件が検出される場合に、現在の取引を不正なものとしてマークするように構成されていてよい。
【００１２】
また検出モジュールは、取引を遮断するといった予防措置を講じ、または不正取引について報告し、遮断されるべき複数のミュール口座を集約し、記憶するように構成されていてもよい。
【００１３】
不正取引は、Ａｊａｘを使用したマルウェアによって生成される場合がある。
【００１４】
マルウェアがリモートサーバから取引ごとにリアルタイムでミュール口座を取得するたびに、検出モジュールは取得を検出し、現在の取引を不正なものとしてマークするように構成されていてよい。
【００１５】
マルウェアが不正な取引フォームに自動的に記入するたびに、検出モジュールは自動的記入を検出し、現在の取引を不正なものとしてマークするように構成されていてよい。
【００１６】
検出モジュールは、合法ウェブページ内の目に見えないＩＦｒａｍｅを捜し出すように構成されていてよく、合法取引ウェブページに組み込まれたＪａｖａＳｃｒｉｐｔコードスニペットとすることができる。
【図面の簡単な説明】
【００１７】
【図１】本発明の一実施形態による、不正な送金を検出し、防止する方法を示す図である。
【発明を実施するための形態】
【００１８】
本発明は、ミュール口座へ振り込まれる不正な送金を検出する方法である。
【００１９】
新しい不正取引を完了するためには、マルウェアは取引フォームに記入する必要がある。マルウェアは、Ａｊａｘ（Ａｓｙｎｃｈｒｏｎｏｕｓ  ＪａｖａＳｃｒｉｐｔ  ＸＭＬ）を使用してフォームを送信することができる。（Ａｊａｘは、ユーザ要求を即座に処理するウェブ用の対話型アプリケーションを構築する方法である。従来のウェブページをロードする代わりに、ユーザのブラウザはＡｊａｘエンジンをロードし、ユーザが見るページをＡｊａｘエンジンが表示する。エンジンはバックグラウンドで走り続け、ＪａｖａＳｃｒｉｐｔを使用してブラウザと通信する）。Ａｊａｘは、外部ソースから新しい不正取引のページをロードすることを必要としない。代替として、Ａｊａｘは、隠しフレームにおける定型フォーム送信を使用することができる。
【００２０】
マルウェアは、さらに、そこに被害者の口座から金が振り込まれることになるミュール口座を必要とする。一般に、ミュール口座はマルウェア構成から除外される。というのは、不正取引が行われた後で、被害者は不正を発見し、自分の金を取り戻すために銀行に報告することになるためである。その結果、ミュール口座は銀行の「ブラックリスト」に記載され、それ以後の取引を遮断されることになる。したがって、ミュール口座は１回だけ（またはごくわずかな回数）しか使用できないため、ミュール口座をマルウェア構成に「固定的に組み込む（ｈａｒｄｗｉｒｅ）」ことは賢明ではない。
【００２１】
そのような遮断を排除するために、ミュール口座は、リモートサーバからセッション（取引）ごとにリアルタイムでマルウェアによって取得される。このようにして、マルウェアはその都度異なるミュール口座を使用するため、銀行が詐欺を検出することが難しくなる。
【００２２】
マルウェアは、現在のセッションのためのミュール口座を含めて、不正取引のフォーム内の各フィールドに自動的に記入し、その後、取引詳細をアップロードする「送信」ボタンを自動的に作動させるように構成されている。
【００２３】
本発明は、被害者のブラウザへ、または銀行のウェブサイトへ検出ソフトウェアモジュールを導入することによって、被害者の口座からミュール口座へ振り込まれる不正な送金を行おうとする試みを検出する方法およびソフトウェアを提案する。検出ソフトウェアモジュールは、オンライン・バンキング・フォームと関連付けられたソースコードが変更されているかどうか検出し、それによって、被害者のブラウザに導入されているマルウェアの存在を指示するように適合されている。たとえダウンロード可能なバンキングフォームが、そのソースコードが不正に変更された後で、被害者には、未変更のソースコードと関連付けられた元のフォームと違って見えないとしても、ソースコードへの変更は、詐欺師が被害者について知ることなくミュール口座へ資金を振り込むことを可能にする。というのは、すべての行為は、銀行の合法ウェブページにおいて開かれている目に見えないＩＦｒａｍｅ（または複数の目に見えないＩＦｒａｍｅ）内で行われるからである。
【００２４】
この検出ソフトウェアモジュールは、銀行の合法取引ページに導入されているコード（ＪａｖａＳｃｒｉｐｔなど）のスニペットとすることができる。このコードは、セッション中のウェブページでの任意の例外的な行為／条件、例えば、取引フォームの必須フィールドの自動記入、ミュール口座の詳細を取得するためのセッション中の別のリモートの場所へのブラウジング、取引フォームがＩＦｒａｍｅ内にあることなどを検出するように適合されている。また、ＩＦｒａｍｅが銀行の元のウェブページの一部であるか否か、またはこのＩＦｒａｍｅがマルウェアによって作成されたものであるか否か判定するために、検出モジュールが他のパラメータを使用することもできる。
【００２５】
そのような例外的な行為／条件が検出されると、検出モジュールは、取引を不正取引としてマークし、取引を遮断し、銀行および／もしくは他の当局に報告し、または「送信」ボタンが作動される前に取引フォームからミュール口座の詳細を抽出することができる。
【００２６】
図１に、本発明の一実施形態による、不正な送金を検出し、防止する方法の流れ図を示す。最初のステップ１０で、検出モジュールが被害者のブラウザへ、かつ／または銀行のウェブページへ導入される。次のステップ１１で、検出モジュールは、被害者の口座が、不正なオンライン行為である可能性のある任意の例外的な行為／条件の影響下にあるかどうか判定するために、銀行のウェブページ上のコンテンツおよびウェブページ上で行われた行為の跡をたどる。任意の例外的な行為／条件が検出された場合、次のステップ１２で、検出モジュールは取引を不正取引としてマークする。次のステップ１３で、検出モジュールは、不正取引を行うのに必要とされるすべての機密データが入力されるまで待つ。次のステップ１４で、検出モジュールは、取引を遮断するといった予防措置を講じ、もしくは不正取引について報告し、遮断されるべき複数のミュール口座を集約し、記憶することができ、または、検出モジュールは、単に、銀行に、かつ／または他の当局に報告するように構成されている。次のステップ１５で、検出モジュールは、この不正取引に使用されたミュール口座の詳細を記憶し、かつ／または転送する。このようにして、検出モジュールは、複数のミュール口座を集約し、報告することができる。
【００２７】
本発明のいくつかの実施形態を例示として説明したが、本発明は、特許請求の範囲を超えることなく、多くの改変、変形および適応を伴い、当業者の理解の範囲内である多数の均等物または代替の解決法を使用して実行することができることが明らかであろう。
【図１】
2014086080.tif 000003
【外国語明細書】
2014086080000001.pdf