ネットバンキングへの攻撃事例が日経に出ていました。ネットバンキングは不正対策が進み被害額は減少傾向にあると思っていただけに、気になる事件です。
www.nikkei.com
銀行のインターネット口座に不正アクセスし、別口座に送金された現金33万円を引き出したとして、警視庁サイバー犯罪対策課などは15日までに、中国籍の大学生、林航容疑者（23）=東京都品川区大井=を不正アクセス禁止法違反などの疑いで逮捕した。
同課によると、林容疑者は不正送金グループのメンバーとみられ、不正送金額は1億9千万円で、うち9千万円が引き出されたという。
（日経新聞記事より引用）
◆キタきつねの所感
ネットバンキングも昨今のパスワード使いまわしに伴う事件が多発してた時期があり、引き出し（振込み）限度額の改定や、2要素認証（OTPが多いでしょうか・・・）の導入などの対策が進み、かなり下火になってきた印象でした。
改めて調べてみると、警察庁の30年上期のデータでも、
その傾向は変わっていませんでした。今回1億円近い実被害（不正送金成功）が出ている事に対して、どこを攻められたのだろうか？という疑問が出てきました。
報道各社の情報を見てみると、警察発表をベースにしているのか、各社で差分はほとんど無いのですが、逮捕された中国国籍の出し子が2名居る事を考えると、分業がしっかりしている事が分かります。報酬５％だとす、、1.9億円の不正送金すべてに関与してたとして、950万円の報酬となりますので、大学生が悪い事と知りながら犯罪に手を染める動機としては十分かも知れません。
問題は、多要素認証を導入していると推測される、ネットバンクの口座への不正アクセスがどうやって成功したのか？なのですが、残念ながら記事には書かれていません。全国で70名も不正アクセスされている事を考えると、事件が再発する脆弱点があると思われます。
推測となりますが、不正アクセスで口座残高が把握された後（アクセスログが残ってそう）に不正送金されていたのではないかと思います。
現在、ネットバンクでは1回100万円以下の送金しか初期設定上では出来なくなっている事が多いのですが、1億9000万円を70人で割ると1人当たり、200-300万円程度の被害を受けていた計算となります。逮捕された中国人男性が捕まった容疑は33万円の不正送金・・・とありますので、1日の引き出し限度額を把握した上で不正送金（振込み）を行っていたのではないでしょうか。
japan.zdnet.com
（ Zdnet記事（上記）の警察庁発表の図から引用 ※今回の事件スキームに近い気がします）
攻撃としては、マルウェア感染による中間者攻撃（正規の認証情報を盗む手口）が一番疑わしい気がしますが、攻撃手法としてはずっと続いている事もあり、大きな被害を出す前に検知できた可能性はないのかな？と思います。
もう１つ、今回の事件報道で疑問に思ったのが、コインロッカーを使った現金の受渡しです。
古いテレビドラマにも出てくる様に、以前は物理鍵を公園のベンチの下に貼り付けて・・・・といった手法でコインロッカーを使った犯罪が行われていましたが、最近はJRでもSuicaが鍵となるロッカーも普及しているので、どうやって『分業』を成立させたのかが分かりませんでした。
Googleで検索すると、すぐ出てきました。なるほど、Suica式ロッカーの現金払い（暗証番号）を使う方法が正解だった様です。
lifeintokyo.info
※詳しいやり方は上記記事をご覧ください
Suicaを持たず、現金のみしか扱えない旅行者や高齢者向けには良いと思うのですが、せっかく偽造しにくいICカードの認証がバイパスできてしまうのは、犯罪の受渡し利用を考えると（セキュリティ観点で考えると）問題があるのではないでしょうか。
現金式のロッカーもまだまだ現役な訳ですから、ICカード（Suica）式のコインロッカーは現金を禁止し、ICカード（Suica）専用機とする事も、検討の余地がありそうです。
■参考記事
ネット口座から不正送金 被害1億9千万円か 容疑の中国人男逮捕 :日本経済新聞
警視庁、引き出し役の中国人逮捕 1億9千万円不正送金か（共同通信） - Yahoo!ニュース
ネットバンキング不正利用 中国人２人逮捕｜日テレNEWS24
更新履歴
