スラッシュドット・ジャパン

CCBは昨年四大国有銀行では初となる株式上場を達成し、分行数38店、支行数約2万店を抱える中国第二位の銀行で、近年急激に成長している銀行の一つ。中国の大手銀行は非常に規模が大きく、地域を統括する分行を中心に、数百の支行がぶらざがる組織構造になっているが、銀行によっては、分行やより大きな地域ごとにシステムが分断されている場合もあり、セキュリティ上の問題も数多いと言われている。こう言った問題は、中国に限らず国際的に展開する大手金融機関の中でも、本国サイトとは別に運用されている海外拠点のサイトなどで、脆弱な運用体制が数多く見られる。今回の事例では、銀行を装ったフィッシングサイトを、別の本物の銀行のサイトで運用している点が新しいと言える。

実際にタレコミ者が2月下旬、国内の都市銀行5行, 信託銀行8行, ネット銀行等4行, 地方銀行63行, 外国銀行在日支店4行, その他銀行2行の提供する、ログインを必要とするインターネットサービス延べ158サービスを対象に調査を行ったところ、うち136サービスでログイン画面を再利用せず、新しいウィンドウかポップアップによってログイン画面を表示していた。更にうち32サービスではアドレスバーを隠蔽する仕組みを、さらにうち6サービスではステータスバーの非表示を行っており、「ポップアップでログイン画面を表示しない」「アドレスバーを表示してSSL通信状態やサーバを確認できる」「ステータスバーを表示してサイト証明書を確認できる」といった基本的対策を講じているサイトは22サービスに止まった。

論外な事に、サイト証明書を他の証明書を流用したり期限切れになっている、いわゆるオレオレ証明書を使用しているサービスが、地方銀行4行, 外国銀行支店1行の合計5サイトで確認された。また IE5.5 以外のブラウザでのアクセスを拒否するサービスも信託銀行1行で、銀行に対するサービスの質問サービスで質問者とその回答がアクセス制限なしで閲覧でき、質問者と回答者のIPアドレスを表示する銀行も外国銀行支店1行で確認されるなど、フィッシング詐欺対策以前の低レベルな運用体制も散見された。

銀行別では、三菱UFJ信託銀行など大手銀行でもステータスバー隠蔽を行ってるサービスもあり、また使用しているパッケージ別でも、あるベンダーのインターネットバンキングASPパッケージで極端に問題が多いサイトが多かったものの、他社のパッケージでも少数ながら問題のあるサイトが散見され、中にはサービスのリニューアルで旧サービスより新サービスで脆弱性が増えた銀行すらあり、基本的にベンダー側ではなく利用銀行側の意識が総じて低いことが推察される。

フィッシング詐欺対策として、ソフトウェアキーボードによるログイン手段を提供したり、ワンタイムパスワードやICカード認証サービスなど有料のセキュリティ対策を講じ、セキュリティを売りにする銀行も増えているが、ICカード認証サービスを提供している新銀行東京など、アドレスバーやステータスバー隠蔽を続けている銀行もある。銀行側がノーガード戦法を取る限りユーザーの自衛手段にも限界があるように思えるが、スラドの諸兄諸姉はどう思われるだろうか？"