高木浩光＠自宅の日記 - テレフォンバンキングからのリバースブルートフォースによる暗証番号漏えいについて三井住友銀行に聞いた
■ テレフォンバンキングからのリバースブルートフォースによる暗証番号漏えいについて三井住友銀行に聞いた 先週から、「ドコモ口座不正引き出し事件」の原因として、被害の発生した銀行が4桁数字の暗証番号で認証処理していたことが取りざたされており、リバースブルートフォース攻撃の手口が暗証番号特定の手段として使われた可能性について、テレビのワイドショーでも扱われるなど、世間での認知がかつてなく高まっている。 そこで、この機会に、昔から存在していたテレフォンバンキングの危険性について、銀行側に抗議すれば今ならご理解いただけるのではないかと考えた。この問題は十数年前にも銀行側に伝えているが、サービスを止めるわけにもいかないし、電話経由での自動処理による攻撃は考えにくいと当時は考えられたのか、対処されることはなかった。2020年の今日、電話経由のサイバー攻撃は技術面で十分に容易に可能となっていると考えられ
WEB口座振替とかいう、インターネットバンキングとはまた別の機能について。 - それマグで！
WEB口座振替という闇 インターネットバンキングと口座振替は、別の機能です。そのことがわかる画像をキャプチャしたので共有します。 ４桁暗証番号と銀行口座の番号で口座振替が完結するのでは？という銀行がいくつか有ることが判明しています。 つまり、インターネットバンキングのログインとは「別機能」で、口座振替のWEB申し込みを提供している都市銀行があるのではという話にもなります。 なので、クレジットカードを新規作成して、口座振替を申し込みしてみました。 口座振替を申し込んでみた。 楽天カードを作って、口座振替を依頼してみしてみました。 楽天カードで申し込み画面を完了し、口座振替の登録画面に移行したところです。楽天カードからのWEB口座振替、やってみた。 この申込は生年月日を入力するだけ完結しました。 口座振替の申込みを開始する画面 最初の画面では口座振替の申込みを開始する画面です。画面が大きく分け
フィッシング対策協議会 Council of Anti-Phishing Japan | ニュース | 緊急情報 | 三井住友銀行をかたるフィッシング (2016/08/29)
三井住友銀行をかたるフィッシングの報告を複数受けています。 1. 2016/08/29 13:00 現在フィッシングサイトの停止を確認しておりますが、類似のフィッシングサイトが公開される恐れもありますので注意してください。 2. このようなフィッシングサイトにてアカウント情報 (店番号・口座番号、契約者番号、第一暗証など) を絶対に入力しないように注意してください。 3. 類似のフィッシングサイトやメールを発見した際には、フィッシング対策協議会 (info@antiphishing.jp) までご連絡ください。 「情報を入力してしまった」等、その後の対応方法は「よくあるご質問」をご参照いただき、 入力した情報に応じてご対応ください。
本格化するMITB攻撃に備え、マイナンバーカードにトランザクション署名を
2013年以降、マルウェア感染による不正送金被害が国内でも増加している。警察庁のまとめによると、ウイルスに感染してIDやパスワードを盗み取られ、他人の口座などに不正送金される被害は、2013年は前年の約14倍に当たる1325件に上った。2014年に入ってもその傾向は変わらず、2月末の時点で500件、約6億円に上る被害が生じているという。 不正送金で、最近増えているとされるのが「Man-in-the-Browser」（MITB）と呼ばれる手法だ。被害者のPCに侵入したマルウェアが、オンラインバンキングなど特定のページにアクセスしたときにだけ動作してWebページの表示に改ざんを加え（＝Webインジェクション）、IDやパスワード情報を盗み取ったり、送金先口座を変更してしまったりする。 産業技術総合研究所が2014年3月13日に開催した「第2回 セキュアシステムシンポジウム」において、同研究所の高
三井住友銀行の不正送金は「MITB攻撃」、ワンタイムパスワード利用者も被害に
三井住友銀行のインターネットバンキングサービス「SMBCダイレクト」について、同行が2014年5月12日に公表した不正送金被害のうち1件は、ワンタイムパスワード（一回限り使えるパスワード）を生成するハードウエアトークンの利用者が対象だったことが分かった（関連記事）。いわゆる「MITB（マン・イン・ザ・ブラウザー）攻撃」だったために、ワンタイムパスワードを使っていたにもかかわらず被害に遭った可能性が高い。国内での不正送金はフィッシング詐欺や「Webインジェクト攻撃」といった手口が主流で、MITB攻撃が検知されたのは珍しい。 今回の不正送金は2014年4月中旬に発生した。利用者が同行のオンラインバンキングにアクセスし、画面の指示に従ってワンタイムパスワードを入力した後、覚えのない口座への振込が行われていたという。このほか、乱数表カードの一部を入力しただけで不正取引が行われた事例も確認された（図
三井住友銀ネットバンクにはないものねだりをしているわけではありません | 栗原潔のIT弁理士日記
JNB（ジャパンネット銀行）では、口座へのログインは英数字8文字のパスワードで一応守られており、外出や出張中に残高確認等のためだけにトークンを持ち歩く必要がない（トークンは銀行印のようなものなので普段は金庫にしまっておきたいです）一方で、出金はトークンのOTPで守られており暗証カード不要です。自分的には利便性と安全性のバランスが取れていると思います。 SMBC（三井住友銀行）の旧システムでは、ログイン時にワンタイムパスワードが必要だったので事務所以外から残高確認を行なう場合にはトークンを持ち歩く必要がありました。トークンがあっても旧来の暗証カードは依然として必要でした。また、デフォルト設定では登録済みの口座にはノーチェックで振り込めてしまうのでちょっと怖いです（暗証カード必要なように設定可能ですが）。 SMBC新システムでは一見改良されているようですが、パスワードが数字4桁になってしまった
FAQ：2要素認証について知っておくべきこと--Twitterなど大手サービスで進む不正アクセス対策
Fenton氏によると、2要素認証によってログインが難しくなるが、「途方もなく」困難になるわけではないという。 「攻撃者はウェブサイトからクッキーやOAuthトークンを収集して、事実上ユーザーのセッションを乗っ取ることができるかもしれない。したがって、2要素認証は良いものではあるが、ユーザー体験を複雑にするのも事実だ。例えば、ユーザーがデバイス上で初めてアカウントにログインするときに複雑になる」（Fenton氏） --2要素認証はわたしを守ってくれるのだろうか。 セキュリティに関して言えば、それは誘導尋問だ。 確かに2要素認証は、ハッカーの侵入を完全に防ぐものでない。2要素認証システムが突破された最も有名な事例の1つは、2011年に起きた。セキュリティ企業のRSAはこのとき、同社の「SecurID」認証トークンがハッキングされたことを明らかにしている。 Fenton氏は2FAの効果に関する
スマートフォンアプリ「三井住友銀行アプリ」 ： 三井住友銀行
本来想定された利用形態と異なる極端な利用が認められた場合、システム安定稼働の観点から、SMBCダイレクトのご利用を停止させて頂く場合がございます。あらかじめご了承ください。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ニュースリリース ： 三井住友銀行
三井住友銀行
会社案内｜クレジットカードの三井住友カード株式会社
ニュースリリース ： 三井住友銀行 - 『ＳＭＢＣダイレクト』のセキュリティ強化について～新型ワンタイムパスワード生成機「パスワードカード」を導入～(1/2)
三井住友銀行（SMBCダイレクト）