Japan Computer Emergency Response
Team Coordination Center

電子署名者 : Japan Computer Emergency Response TeamCoordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku,
email=office@jpcert.or.jp, o=Japan Computer Emergency
Response Team Coordination Center, cn=Japan Computer
Emergency Response Team Coordination Center
日付 : 2014.02.27 11:23:43 +09'00'

あなたも狙われている!?
インターネットバンキングの不正送金とマルウエアの脅威
2013年12月9日
JPCERT/CC 竹田春樹
SecurityDay 2013

Agenda
状況の把握

1 不正送金の事例について脅威の確認

2 不正送金に関わるマルウエア
状況の打開

3 対策・対応について2

Copyright©2013 JPCERT/CC All rights reserved.

- JPCERT/CCをご存知ですか? -JPCERT/CCとは一般社団法人JPCERTコーディネーションセンター

Japan Computer Emergency Response Team Coordination Center
ジェーピーサート・コーディネーションセンター
日本国内のインターネット利用者やセキュリティ管理担当者、ソフトウエア製品開発者等（主に、情報セキュリティ担当者）がサービス対象
コンピュータセキュリティインシデントへの対応、国内外にセンサをおいたインターネット定点観測、ソフトウエアや情報システム・制御システム機器等の脆弱性への対応などを通じ、セキュリティ向上を推進
インシデント対応をはじめとする、国際連携が必要なオペレーショ
ンや情報連携に関する、我が国の窓口となるCSIRT（窓口CSIRT）

CSIRT: Computer Security Incident Response Team
※各国に同様の窓口となるCSIRTが存在する(米国のUS-CERT、CERT/CC、中国のCNCERT, 韓国のKrCERT/CC、等)

経済産業省からの委託事業として、情報セキュリティ対策推進事業（不正アクセス行為等対策業務）を実施
3

Copyright©2013 JPCERT/CC All rights reserved.

- JPCERT/CCをご存知ですか? -JPCERT/CCの活動
インシデント予防

インシデントの予測と捕捉発生したインシデントへの対応

脆弱性情報ハンドリング

情報収集・分析・発信

インシデントハンドリング 未公開の脆弱性関連情報を製品開発者へ提供し、対応依頼
 関係機関と連携し、国際的に情報公開日を調整
 セキュアなコーディング手法の普及
 制御システムに関する脆弱性関連情報の適切な流通定点観測（ISDAS/TSUBAME）（インシデント対応調整支援）

 ネットワークトラフィック情報の収集分
 マルウエアの接続先等の攻撃関連サイ
析ト等の閉鎖等による被害最小化
 セキュリティ上の脅威情報の収集、分析、  攻撃手法の分析支援による被害可能性必要とする組織への提供の確認、拡散抑止
ポートスキャンの上位 5 位を表示
全センサーのポートスキャン合計（単位：時間） 再発防止に向けた関係各関の情報交換
ポートスキャンの平均値 ＝30
センサー合計及び情報共有25（ICM Pは常に表示、o the rはその他合計）
ICM P

TCP 1 3 5

TCP 4 4 520

U DP 1 37

15TCP 1 3 9
TCP 1 0 2 5

10o th er

50

1 2 /91 2 /1 0

1 2 /1 1

1 2 /1 2

1 2 /1 3

1 2 /1 4

D a ta

早期警戒情報重要インフラ、重要情報インフラ事業者等の特定組織向け情報発信

CSIRT構築支援

海外のNational-CSIRTや企業内のセキュリティ対応組織の構築・運用支援

アーティファクト分析

マルウエア（不正プログラム）等の攻撃手法の分析、解析

国際連携

各種業務を円滑に行うための海外関係機関との連携
4Copyright©2013 JPCERT/CC All rights reserved.

JPCERT/CC事業の沿革
1996年
コンピュータ緊急対応センター(JPCERT/CC)発足

2003年 1998年
FIRST*1 に日本初のメンバー加盟
2004年
APCERT*2 フォーラム発足,事務局担当
2005年

インターネット定点観測システム (ISDAS) 公開
脆弱性情報ハンドリング開始
早期警戒情報提供開始
FIRST 運営委員会、理事参加

2006年 アーティファクト分析の独立チーム化（分析センター）
総務省、経産省合同ボット対策事業(サイバークリーンセンター：2010年度まで)

2007年

CSIRT構築支援
NCA*3 発足

海外展開
2008年 TSUBAME
フィッシング対策協議会事務局

制御システムセキュリティ
タスクフォース
ITセキュリティ予防接種
実証実験
Secure Codingセミナ

2009年

2010年

ステルス型の標的型攻撃の脅威に関する調査・検討
アーティファクト分析に関する国内外の連携・支援強化
Stuxnetによる制御システムへの攻撃の公表

FIRST ： Forum of Incident Response and Security Teams)

5

日中韓情報セキュリティ対応覚書調印
制御システム評価ツール
SSAT提供開始

Copyright©2013 JPCERT/CC All rights reserved.

ICSRの設置
サイバー攻撃解析協議会用
解析環境構築APTインシデント対応体制準備

2012年

2011年

APCERT：Asia Pacific Computer Emergency Response Team NCA ：日本シーサート協議会

不正送金の事例について

6Copyright©2013 JPCERT/CC All rights reserved.

-不正送金の事例について-国内における動向

参考資料: 1
参考資料: 2

参考資料: 3
7Copyright©2013 JPCERT/CC All rights reserved.

-不正送金の事例について-

不正送金の被害金額(2013年)

2013年10月
2013年8月
7億6000万円
2013年7月

4億1600万円

3億6000万円
2013年6月
2億200万円
2013年4月
9600万円

年度

被害件数

被害総額

2011

165件

3億800万円

2012

64件

4800万円

2013

766件(*1)

7億6000万円(*1) 2013年10月19日の発表時点

警察庁が発表している不正送金の被害額は、2012年の被害総額を2013年4月の時点で超えています。

8Copyright©2013 JPCERT/CC All rights reserved.

不正送金に関わるマルウエア

9Copyright©2013 JPCERT/CC All rights reserved.

- 不正送金に関わるマルウエア –マルウエアに関する動向
時期

マルウエアに関わる動向

2007年• ZeuSのオリジナルの存在が確認される（7月）2009年• 広範囲の被害を確認（3月）• 74,000を超えるFTPアカウントがPrevxによって確認される（6月）• ZeuSと類似の機能を持ったSpyEyeの存在が確認される

2010年• アメリカの15行の銀行が攻撃対象となっていることをTrusteerが確認（7月）• FBIによると、$70 millionが盗まれたとされている• McAfeeによると、ZeuSの作者がZeuSのソースコードを対抗するSpyEyeの作者に販売したとされている

2011年• ZeuSのソースコードがリークされる（3月）• ZeuSの亜種とされるIce IXが確認される（4月）• ZeuSの亜種とされるCitadelが確認される

2013年• KINS（PowerZeuS）など新たなマルウエアが確認される

参考情報4、５、6、7、8から抜粋

10

Copyright©2013 JPCERT/CC All rights reserved.

- 不正送金に関わるマルウエア –マルウエアの特徴
不正送金に関わるマルウエアの特徴的な機能として、以下の機能があることを確認しています。
•

情報窃取機能Webの認証情報やFTPなどのアカウント情報を収集する機能•Webインジェクション機能
Webコンテンツを攻撃者が意図する内容に書き換える機能

これらの機能を悪用し、インターネットバンキングに関連する情報も含む、感染端末の様々な情報の窃取を試みます。

11

Copyright©2013 JPCERT/CC All rights reserved.

- 不正送金に関わるマルウエア –攻撃者のネットワーク
マルウエア作成環境

Infected!!

ユーザ

Internet

サイト管理者

サイト管理者

Proxy Server として悪用

攻撃者

不正ファイルの設置

組織企業のインフラ

12

不正侵入

Copyright©2013 JPCERT/CC All rights reserved.

攻撃者のインフラ

- 不正送金に関わるマルウエア –マルウエアによって窃取される情報

Webのアカウント情報

メールアカウント情報

FTPアカウント情報

窃取対象は不正送金に関わる情報だけではありません
13

Copyright©2013 JPCERT/CC All rights reserved.

対策・対応について
14

Copyright©2013 JPCERT/CC All rights reserved.

対策・対応について••技術面での対策
基本的なセキュリティ対策を徹底する•

OSやソフトウエアの最新状態にする•

ウイルス対策ソフトウエアの導入する不要なソフトウエアは削除するなど運用面での対策

不正送金に早期に気付くための対応をユーザ自身で行う[例]• 預金確認方法を二つ用意する• 定期的に預金金額を確認する

15

Copyright©2013 JPCERT/CC All rights reserved.

対策・対応について（JPCERT/CCの取り組み）
他の事案と同様、インターネットバンキングに関わるマルウエアの通信先等に関しても、コーディネーションの対応を進めています。
また、日本国内のWebサーバにCitadelに関連する不正ファイルが設置された事案についてもコーディネーションの対応を行った実績もあります。

参考資料: 11
16

Copyright©2013 JPCERT/CC All rights reserved.

対策・対応について
基本的なセキュリ
ティ対策

発見

17

サービス使用者にサービス事業者による対策

よる対策

Copyright©2013 JPCERT/CC All rights reserved.

まとめ
2013年に入り、不正送金の被害が急増しています。
様々な取り組みにより、対策・対応を進められていますが、攻撃者の攻撃手法も変化しており、根本的な対策・対応が難しい状況が続いています。
サービスを提供する側だけではなく、サービスを使用するユーザ側による対応・対策が必要となってきています。
普段の生活で気をつけていることを、インターネットの世界でも実践し、自身の情報・資産を守っていきましょう。

18

Copyright©2013 JPCERT/CC All rights reserved.

参考資料
1.

ネットバンキングの不正送金事件、「偽ポップアップ」による巧妙な手口

2.

http://trendy.nikkeibp.co.jp/article/pickup/20121116/1045603/
ネットバンキング不正送金が激増――ウイルス感染に注意

3.

http://www.so-net.ne.jp/security/news/newstopics_201308.html
ネットバンキング被害額、過去最悪を更新

4.
5.
6.

7.
8.
9.

10.
11.

http://www.news24.jp/articles/2013/10/18/07238588.html
Zeus (Trojan horse)
http://en.wikipedia.org/wiki/Zeus_(Trojan_horse)
Citadel Makes a Comeback, Targets Japan Users
http://blog.trendmicro.com/trendlabs-security-intelligence/citadel-makes-a-comeback-targets-japan-users/
Public-private partnerships essential to fighting cybercriminals
http://blogs.technet.com/b/microsoft_on_the_issues/archive/2013/07/25/public-private-partnerships-essential-tofighting-cybercriminals.aspx?Redirected=true
Current state of online banking Trojans
http://www.itu.int/ITU-D/eur/rf/cybersecurity/presentations/ITU_IMPACT_banking_trojans%20by%20Symantec.pdf
New Trojan Ice IX Written Over Zeus’ Runs
https://blogs.rsa.com/new-trojan-ice-ix-written-over-zeus-ruins/「SpyEye」によるサイバー犯罪の手口とはhttp://aboutthreats.trendmicro.com/relatedthreats.aspx?language=jp&name=Trend%20Micro%20Researchers%20Uncover%2
0SpyEye%20Operation
Microsoft, financial services and others join forces to combat massive cybercrime ring
http://www.microsoft.com/en-us/news/press/2013/jun13/06-05dcupr.aspx
インシデント報告対応レポート [2013年7月1日～2013年9月30日]（2013年10月10日公開）
http://www.jpcert.or.jp/pr/2013/IR_Report20131010.pdf

19

Copyright©2013 JPCERT/CC All rights reserved.

お問い合わせ、インシデント対応のご依頼は‒ Email：office@jpcert.or.jp‒ Tel：03-3518-4600‒ Web: https://www.jpcert.or.jp/

インシデント報告‒ Email：info@jpcert.or.jp‒ Web: https://www.jpcert.or.jp/form/

ご清聴ありがとうございました。
20

Copyright©2013 JPCERT/CC All rights reserved.