足利銀行、個人向けインターネットバンキングへの不正アクセス。

足利銀行個人向けインターネットバンキングへの不正アクセス

2014年足利銀行の”個人向けインターネットバンキング”への不正アクセスが4月4日にされました。

不正アクセス時の状況

・日時：4月4日午前9時頃～7時ごろ
・不正アクセス先：個人向けインターネットバンキンング
・不正アクセスの内容：77,966件不正アクセスが確認されIDとパスワード一致したもの15件

・現状の不正アクセス状況：集中的な不正ログインは終息
・不正アクセスによる被害：不正送金等の確認はされていない

不正アクセス方法

今回の攻撃手法は「リスト型アカウントハッキング」という手法で、弊行以外のサーバーシステムから盗取された ID とパスワードを使って不正かつ大量のログインを試みることで、同じ ID とパスワードをお使いになっているお客さまに対して不正なログインが行われる手法であると思われます。
足利銀行　HPより引用

個人情報流出の可能性

”15名の個人情報には、アクセスされた痕跡があったため個人情報が15人に関しては個人情報が流失した可能性があり”とコメントされています。

ただ疑問に思うことは
・不正アクセスされた時間：4月4日午前9時頃～7時ごろ
・不正アクセスされた件数：77,966件
が確認されたのであれば、不正アクセスされたもっと早い時間内に、不正アクセスIPなどを特定し、一時的にｻｲﾄ封鎖などの措置が出来たのではと思います。

足利銀行の現状の対策

1.監視体制の強化と接続元の遮断対応
・4月4日午前9時以降、システムベンダーと連携して監視体制を強化するとともに、不正な接続元の特定とアクセスを制限する遮断対応を行っています。

2.今後の対応
・引き続き強化した監視体制を維持し、不正なアクセスの検知と接続元の遮断対応を実施いたします。
・再発の防止のために警察に情報提供を行ってまいります。
・弊行のインターネットバンキングを含めた複数のサービスで、同じIDとパスワードをお使いになっているお客さまが不正にログインされているため、IDとパスワードの管理に関して改めて注意喚起を行ってまいります。
・セキュリティ対策として有効な「ワンタイムパスワード」のご案内と、利用促進に努めて参ります。
足利銀行　HPより引用

現状のセキュリティ手段としては”ワンタイムパスワード”が有効な手段ですが、もっとはやく”ワンタイムパスワード”の導入を行っていればこのような被害はなかったと思われます。