製品分野別セキュリティガイドライン
金融端末（ATM）編

平成28年7月8日

CCDS セキュリティガイドラインWG
ATM SWG
Copyright 2016 Connected Consumer Device Security Council Proprietary11. 現状と課題(1) ATMセキュリティの現状
従来型犯罪（フィジカル犯罪）に加え、IT技術を取り入れた新しい形態の犯罪（サイバー・フィジカル犯罪）が増加し、日々巧妙・多様化してきている。
欧州や新興国の事例ではATMを直接の感染対象とするマルウェアを媒体からインストールし、筐体を破壊することなく現金やカード情報などの重要情報を盗むインシデントが報告されている。

(2) ATMにおけるセキュリティ対策の必要性
上記はATM運用現場の管理不備を突いてマルウェアを仕込まれたこと、PC技術をベースとしているATMに対しマルウェアを開発しやすい「サイバー犯罪技術の過拡散時代」になってしまっていることが背景にある。
従来の規格基準が策定された時代には想定しづらかった事象をフィードバック・補強した、新しい「設計のガイドライン」を効果的に現場へ浸透させる必要がある。
Copyright 2016 Connected Consumer Device Security Council Proprietary22-1. ATMシステム構成と登場人物 –その1–■ATMシステムの構成例と登場人物
保守用扉
扉錠
物理鍵

ATM
USBポートUSBポート光学ドライブ

HDD

アプリケーション
ミドルウェアディスプレイ

ドライバ
保守員
OS

利用者

警送員

金融機関
職員

PIN PAD

金 庫

制御部

監視・保守用コンピュータ

紙幣処理部
BIOS
現金

カードリーダ勘定系ホストコンピュータCopyright 2016 Connected Consumer Device Security Council Proprietary32-2. ATMシステム構成と登場人物 –その2–
項番

構成要素

1

制御部

紙幣処理部等のデバイスを制御するコンピュータであり、Operating System(OS)にはWindows®を採用することが多い。

HDD（ハードディ

制御部に接続されておりOS、ドライバ、ミドルウェア、アプリケーション、保守用ソフトウェアなどのソフト全般を搭

2スクドライブ）機

能載している。

3

BIOS

4

USBポート5

光学ドライブ

ソフト全般をインストールするために用いられる。取引履歴やログデータを書込むことにも利用される。

6ディスプレイ

取引方法を指示したり処理結果を表示したりするための表示機能をもつ。タッチパネルによって操作を行うものもある。

PIN PAD789（ピンパッド）
紙幣処理部
金庫

Basic Input Output Systemの略であり、起動デバイスなどを制御する機能をもつ。
USBメモリなどからソフトをインストールしたり、ログデータを採取したり、保守用キーボードを接続したりする場合に利用する。

暗証番号、取引金額などを入力するために用いられる。日本場ではタッチパネルによる入力手段で代替するものが多い。
紙幣を出金したり、投入紙幣の真偽識別や計数機能をもつ。紙幣を札毎に保管する複数の現金カセットで構成される。
紙幣処理部を格納する。金庫鍵をもつ場合がある。
ATMに挿入された銀行カードやクレジットカードを読取る装置である。取り扱うカードには磁気カードとICカードがあ

10

カードリーダ

11

保守用扉

ATM内部の保守や紙幣の補充を行うために開閉する扉である。

12

扉

ATMの保守用扉を開くための物理錠である。

1314錠

勘定系ホストコンピュータ
監視・保守用コンピュータる。

ATMの勘定系取引を処理するコンピュータであり、基本的にインターネットには接続されない。
ATMが動作中か休止中かを監視するコンピュータである。ATMにソフトウェア等をダウンロードする場合もある。

15

金融機関職員16

警送員

金融機関の指示で現金の補充・回収を行う外部職員。

17

保守員

装置内部の保守作業を行う外部職員。

18

利用者

紙幣の引き出しや入金、送金などのATM取引サービスを受ける人である。

ATMの保守用扉を開ける扉錠や金庫鍵を管理し、保守や紙幣の補充／回収時にATMの保守用扉を開ける役割をもつ。

Copyright 2016 Connected Consumer Device Security Council Proprietary43-1. 脅威事例 –その1–■マルウェアを用いた不正出金の構図（海外事例）
保守用扉

インターネットサイト

物理鍵

扉錠
ATM

SMSテキスト（出金指示等）(7)出金指示等(1)業界標準
I/F仕様書
ダウンロードUSBポート電話機
USBメモリ(2)インストール
アプリケーション

マルウェア
マルウェア開発者

HDD

USBポート光学ドライブマルウェア

ブートメディア
(4)操作金 庫
紙幣処理部

リモート指示者

ドライバ
OS

PIN PAD

現地実行者

現地実行者の取り分を差し引いた現金

ミドルウェアディスプレイ(3)QR/スクランブルコード（(6)金庫内紙幣枚数等）
リモート指示サーバ
承認コード

(5)出金
コマンド

制御部
BIOS

現金
勘定系ホストコンピュータCopyright 2016 Connected Consumer Device Security Council Proprietary53-2. 脅威事例 –その2–■マルウェアを用いた不正出金の構図（海外事例）
保守用扉
扉錠

物理鍵
ATM

USBポート

小型コンピュータ
/USBボード開発者
(1)開発

HDD

USBポートアプリケーション

光学ドライブミドルウェアドライバ

ディスプレイOS

小型コン USB
ピュータ
ボード

PIN PAD
(2)設置
現地実行者

金 庫

制御部

小型コン
ピュータ

BIOS

紙幣処理部
リモート指示者

現金(3)出金指示等のコマンド

(4)出金
コマンド

USB
ボード

勘定系ホストコンピュータ電話機

リモート指示サーバ

Copyright 2016 Connected Consumer Device Security Council Proprietary6

3-3. セキュリティ対策の各種指導例■脅威事例の再発防止のための各種指導や、インターネット上で公開されているセキュリティ対策例
正規の開発者

保守用扉

安全なロック機構
物理鍵のユニーク化

物理鍵

扉錠

ATM
USBポートWindows管理者
アカウント制限電話機
USBメモリ

USBポートマルウェア
光学ドライブブートメディア

ディスプレイ

開発者へのセキュリティ教育

HDD

ファイル共有アクセス許可制限アプリケーション

ディスク暗号化

ミドルウェアウィルスチェック

ドライバ
ホワイトリスト

PIN PADOS
OS更新

ファームウェア更新
現地実行者

金 庫
紙幣処理部

制御部
BIOS

制御部との暗号通信
BIOSアクセス制限

現金

カードリーダ凡例

対策内容

USB/光学ドライブ
ブート禁止

勘定系ホストコンピュータCopyright 2016 Connected Consumer Device Security Council Proprietary7

3-4. インシデントからのフィードバック事項■最近の犯罪事例からの考慮すべき観点
項番12分

類

フィードバックすべき事項

IT技術の一般化と今IT技術の普及が犯行手段の開発を容易化し、それは常に進歩して手口が巧妙化していく。また現在のところマルウェ

後の進歩による被害

ア感染は物理的な媒体挿入が契機であるが、今後のIoTの進展によっては、つながった先の世界から感染するかもしの拡散れない。
あらゆるルートでのマルウェア侵入、情報漏えいが起こりうることを前提に考え直す必要がある。USBメモリ／CD-

侵入ルート

ROM等のプログラム媒体の挿入が可能で悪意をもつ登場人物が存在する。
マルウェアは以下の条件でインストールされやすい。
・ハードウェア：ATMの扉鍵がどれも同じである、ATM運用現場での鍵の管理が杜撰であるなど。

3

管理の不備

・ソフトウェア：システムの特権ユーザ名、パスワードがどのATMでも同じであり、マルウェアの入ったファイル装置からのリブートが可能であり、USBポートが自動接続可能状態である、マルウェアを検知するソフトウェアが搭

4

情報漏えいと非正規載されていないなど。
マルウェアやブラックボックスは不適切に公開された情報や非正規に流通している保守部品などを分析して開発され保守部材の流通ており、犯罪に必要な情報は漏えいしている前提で考える必要がある。

■既存のセキュリティ対策懸念事項
項番

懸念事項

具体的内容
（１）対策導入後の運用コスト（２）人材の教育・訓練コスト

1

セキュリティ強化のコストは相対的（３）運用ルールのバリエーションが産むコスト高に高くなる（４）改修のためのATM運用休止に伴う機会損失（５）進化し続ける手口への都度対応によるコスト高（６）OSの都度更新に伴う各種検証作業はコスト・処理性能面で極めて困難（１）現場作業を詳細に管理することは難しい。

2

人的資質に依存した対策は破綻する（２）退社した開発者がその知識を悪用しないよう担保できない。
（３）内部犯行者の影

Copyright 2016 Connected Consumer Device Security Council Proprietary8

4-1.「つながる世界の開発指針」と本セキュリティ対策指針の対応関係「 つ な がる 世界の開発指針」
本書で の対応箇所
大項目

方針

指針

つ な がる 世界指針 1 安全安心の基本方針を 策定す るの安全安心に

指針 2 安全安心のた め の体制・ 人材を 見直す

企業と し て 取指針 3 内部不正やミ ス に 備え るり 組む

分析

設計

保守ATM -指針 2ATM -指針 3

つ な がる 世界

指針 4 守る べき も のを 特定す る

ATM -指針 4のリ ス ク を 認

指針 5 つ な がる こ と に よ る リ ス ク を 想定す るATM -指針 5識す る

指針 6 つ な がり で 波及す る リ ス ク を 想定す る

n /a

指針 7 物理的な リ ス ク を 認識す る

ATM -指針 7

守る べき も の指針 8 個々で も 全体で も 守れる 設計を す る

ATM -指針 8を 守る 設計を

指針 9 つ な がる 相手に 迷惑を かけ な い 設計を す る

n /a

考え る

指針 1 0 安全安心を 実現す る 設計の整合性を と る

n /a

指針 1 1 不特定の相手と つ な げ ら れて も 安全安心を 確保で き る 設計を す る

ATM -指針 1 1

指針 1 2 安全安心を 実現す る 設計の検証・ 評価を 行う

ATM -指針 1 2

市場に 出た 後

指針 1 3 自身がど のよ う な 状態かを 把握し 、 記録す る 機能を 設け る

ATM -指針 1 3も 守る 設計を

指針 1 4 時間が経っ て も 安全安心を 維持す る 機能を 設け る

考え る運用n /aATM -指針 1 4

関係者と 一緒

指針 1 5 出荷後も I o T リ ス ク を 把握し 、 情報発信す る

ATM -指針 1 5に 守る指針 1 6 出荷後の関係事業者に 守っ て も ら い た い こ と を 伝え る

ATM -指針 1 6

指針 1 7 つ な がる こ と に よ る リ ス ク を 一般利用者に 知っ て も ら うn /a※ n/a : ATM分野においては体制や仕組みが既知と認識されているので説明を割愛

Copyright 2016 Connected Consumer Device Security Council Proprietary94-2. セキュリティ対策方針 –その1–
IPA発行「つながる世界の開発指針」との関連付け（ATMで検討を要するもの）
安全安心のための体制・人材を見直す
ATM-指針２①つながる世界における安全安心上の問題を統合的に検討できる体制や環境を整える。
海外犯罪事例はいずれ日本でも起こりうることを想定しておくことが重要である。そのためには犯罪事例と既存対策の情報をタイムリーに社内で共有し、製品セキュリティに活かすための体制整備が求められる。
②そのための人材（開発担当者や保守担当者など）を確保・育成する。
常に新しい対策技術を開発し続ける必要があり、開発担当者含めて必要な人材の確保、育成が求められる。

内部不正やミスに備える

ATM-指針３

ATM-指針４①つながる世界の安全安心を脅かす内部不正の潜在可能性を認識し、対策を検討する。
監視・管理を強化するほど運用や保守の効率が落ちるが、内部不正や犯罪者が狙う資産は限られるので、セキュリティ対策に強弱を付けることで、効果的な抑止と業務効率の維持を両立させることも可能になる。
②関係者のミスを防ぐとともに、ミスがあっても安全安心を守る対策を検討する。
管理項目が多くて複雑な作業手順を強いられるほどミスが生じやすい。管理項目数を減らしたり、作業手順を簡単にしたり、あるいは正しい手順以外は操作できないシス
テムで自動化したりする努力が必要である。

守るべきものを特定する
ATMでは犯罪や不正行為で狙われる資産はある程度限られる。そこで保護すべき情報や資産の優先順位を付け、致命的になる情報や資産を選別して保護すれば、実効的なセキュリティ確保と、業務効率を両立させやすくなる。
Copyright 2016 Connected Consumer Device Security Council Proprietary104-3. セキュリティ対策方針 –その2–
IPA発行「つながる世界の開発指針」との関連付け（ATMで検討を要するもの）
つながることによるリスクを想定する①クローズドなネットワーク向けの機器やシステムであっても、IoTコンポーネントとして使われる前提でリスクを想定する。
海外事例ではマルウェアを物理的な媒体経由でインストールしたり、外部接続可能な小型機器をATM内部に組み込んだりすることで、不正出金が行われている。また携
帯電話等のオープンネットワーク機器との接続も一般的になってくると考えられるので、それを前提またはそれに準じたATMの制御部に対する保護策が必要である。

ATM-指針５②保守時のリスク、保守用ツールの悪用によるリスクも想定する。
■保守担当者による不正行為（不正なソフトウェアのインストールなど）
ATM内部アクセス時に、制御部に不正ソフトウェアがインストールされるリスクに備えて、制御部にはそれらに対する対策が求められる。機器側の対策だけでは十分にカバーできない場合に備えて、多重防御の観点から資産や作業の監視を行ったり、監査したりすることで、抑止力を働かせることも有効である。以下に、考慮すべき観点について記述する。
(a) 重要デバイス内資産のトレーサビリティ(b) 保守用重要デバイスのトレーサビリティ(c) 保守作業のトレーサビリティ■第三者による保守用I/Fの不正利用（非公開の保守モードの起動、ATMの物理鍵の入手など）
ATM毎に個別の物理鍵を使う、ワンタイムパスワードを使う、または重要な保守機能を使う場合は、事前に認証手続きを行うなどがある。
Copyright 2016 Connected Consumer Device Security Council Proprietary11

4-4. セキュリティ対策方針 –その3–
IPA発行「つながる世界の開発指針」との関連付け（ATMで検討を要するもの）
物理的なリスクを認識する

ATM-指針７

ATM-指針８①盗まれたり紛失した機器の不正操作や管理者のいない場所での物理的な攻撃に対するリスクを想定する。
ATMの運用・保守ではATM内部への物理的なアクセスが発生するので、ATM-指針5で示す保守時のリスクを考慮する必要がある。
②中古や廃棄された機器の情報などの読み出しやソフトウェアの書き換え・再販売などのリスクを想定する。
廃棄機器、中古機器から不正改造された保守部品がATMに組み込まれて犯罪行為が行われるリスクを考慮する必要がある。対策に関しては、ATM-指針5で述べた内容が効果的である。
個々でも全体でも守れる設計をする①外部インタフェース経由／内包／物理的接触によるリスクに対して個々のIoTコンポーネントで対策を検討する。
■外部インタフェース経由のリスクへの対策
デファクトなインタフェースを外側から保護する対策が必要である。対策例として、ホワイトリスト対策ソフト等をインストールしたり、OSのハードニングを行ったりするといった制御部での対策が挙げられる。
■守るべきものの重要度に応じたセキュリティ対策
保護すべき重要資産として、紙幣出金に結び付くコマンドやカード番号、暗証番号等が挙げられる。これら重要資産の保護には制御部での対策に加えて、制御部での対策が阻害されたときに備えて、周辺機器側での多重防御が有効である。

Copyright 2016 Connected Consumer Device Security Council Proprietary124-5. セキュリティ対策方針 –その4–
IPA発行「つながる世界の開発指針」との関連付け（ATMで検討を要するもの）
ATM-指針８(続き）②個々のIoTコンポーネントで対応しきれない場合は、それらを含む上位のIoTコンポーネントで対策を検討する。
ATM内個々の機器での対策だけで十分でない場合は、それぞれの機器で保持している情報を統括して利用することで、更なる対策を行うことが可能である。

不特定の相手とつなげられても安全安心を確保できる設計をする
ATM-指針１１

ATM-指針１２①IoTコンポーネントがつながる相手やつながる状況に応じてつなぎ方を判断できる設計を検討する。
ATM内部の構成要素間の通信を暗号化することがセキュリティ対策上有効である場
合、その暗号設定には特権モードのような管理者権限が必要である。
安全安心を実現する設計の検証・評価を行う①つながる機器やシステムは、IoTならではのリスクも考慮して安全安心の設計の検証・評価を行う。
セキュリティに関する攻撃は日々進化しており、従来の考え方では対処できない場合が存在することを想定し、既存の設計検証・評価の仕組みを常に見直して改善していく必要がある。

自身がどのような状態かを把握し、記録する機能を設ける

ATM-指針１３①自身の状態や他機器との通信状況を把握して記録する機能を検討する。
ATM-指針８で述べたように、ログデータを統括して利用することで、さらなるセキュリティ対策を講じることが可能となる。
②記録を不正に消去・改ざんされないようにする機能を検討する。
ログに対してのアクセス権限の設定、暗号化が金融機関の了解の下で行われていたり、収集ログを定期的に、あるいは不定期にサーバ等に送信する方法がある。
Copyright 2016 Connected Consumer Device Security Council Proprietary13

4-6. セキュリティ対策方針 –その5–
IPA発行「つながる世界の開発指針」との関連付け（ATMで検討を要するもの）
時間が経っても安全安心を維持する機能を設ける
ATM-指針１４①経年で増大するリスクに対し、アップデートなどで安全安心を維持する機能を検討する。
暗号技術を一度導入すると、暗号鍵の更新といった暗号鍵管理に伴う新たな保守が必要になるので、それを安全に実施する機能や仕掛けが求められる。

出荷後もIoTリスクを把握し、情報発信する

ATM-指針１５①欠陥や脆弱性、事故やインシデントの最新情報を常に収集・分析する。
②必要に応じて社内や関係事業者、情報提供サイトなどへリスクの情報を発信し共有する。
公的機関や業界団体、セキュリティ会社等から、欠陥や脆弱性、事故やインシデントの最新情報が開示されている。それを収集し社内や関係事業者と共有して、適切な製品設計に活かす必要がある。また、顧客に対しても、適当なタイミングでそれらの情報を提供していくことが求められ、さらにその解決策についても提案できることが望ましい。

出荷後の関係事業者に守ってもらいたいことを伝える
ATM-指針１６①導入、運用、保守、廃棄で守ってもらいたいことを直接それらの業務に関わっている担当者や外部の事業者に伝える。
導入、運用、保守、廃棄で守るべき事項を業務に関わっている担当者や事業者に伝える仕組みはある。しかし、管理不備が放置されている海外の事例を考慮すると、その仕組みのさらなる改善・工夫が必要であり、継続的な努力が求められる。

Copyright 2016 Connected Consumer Device Security Council Proprietary14

5-1. 製品ライフサイクルのフェーズ■NIST SP800-64「Security Considerations in the System Development
Life Cycle」（SDLC）で定義された製品ライフサイクルにおける５つのフェーズ

着手

開発

保守
運用展開

フェーズ

説廃止

明

着手フェーズシステムへの要求を明確化し、目的を文書化する。

開発フェーズシステムを設計、開発する。

展開フェーズ

受け入れテスト後、システムを展開する。

保守・運用フェーズ

システムを稼働する。

廃止フェーズシステムを整然と停止し、重要な情報を保護し、データを新しいシステムに移行させる。
Copyright 2016 Connected Consumer Device Security Council Proprietary15

5-2. 各フェーズにおけるセキュリティ指針の取組み
フェ項シ ス テ ム 開発ラ イ フ サイ クーズ番ル

１

セ キ ュ リ テ ィ 計画の作成

2

製品種別の分類3

事業に 対す る 影響の評価

着手
45開発

2

3ス の実施リ ス ク 評価2

セ キ ュ リ テ ィ 対策の選択

3

セ キ ュ リ テ ィ 構想設計

567●

●

●

●

●

811●

●

12131416●●

価セ キ ュ ア な 製品開発プ ロ セ

4●

個人情報に 対す る 影響の評

１4A T M -指 針●
●

●

●

●

セ キ ュ リ テ ィ の設計お よ び対策の開発

●

●

●

●

●

●

●

開発テ ス ト 、 機能テ ス ト お よ5びセ キ ュ リ テ ィ テ ス ト の実

●

施
１
展開

確立し た 環境ま た はシ ス テ●

ムへのセ キ ュ リ テ ィ の配合

2

製品セ キ ュ リ テ ィ 評価3

情報シ ス テ ムの認可

保守

１

構成管理の実施

●

●

運用

2

継続的な 監視の実施

●

●

１

メ デ ィ ア のデ ー タ 消去

廃止
2

ハー ド ウ ェ ア ／ソ フ ト ウ ェア の処分※ ●が全くない行はATM分野で体制や仕組みが既知と認識されているので説明を割愛

Copyright 2016 Connected Consumer Device Security Council Proprietary●●

16