顧客口座への不正アクセスで資産9,864万円が流出(SBI証券) | ScanNetSecurity
2020.10.27(火)

顧客口座への不正アクセスで資産9,864万円が流出(SBI証券)

株式会社SBI証券は9月16日、同社顧客口座への第三者からの不正アクセスにより、顧客の資産が流出したことが判明したと発表した。

インシデント・事故 インシデント・情報漏えい
株式会社SBI証券は9月16日、同社顧客口座への第三者からの不正アクセスにより、顧客の資産が流出したことが判明したと発表した。

これは9月7日に、同社に対し顧客から寄せられた身に覚えのない取引があったとの申し出を端緒として、当該顧客のログ調査等を行い不審なアクセス元を特定し、そこからアクセスされたその他の口座や同様の特徴のある取引履歴等を分析した結果、悪意のある第三者からの不正アクセスが行われ、顧客の有価証券の売却および顧客名義の出金先銀行口座への出金を複数件確認したというもの。

本来、同社からの出金は顧客本人名義の出金先銀行口座のみに限定されているが、今回の事案では、第三者が偽造した本人確認書類を利用するなどして当該銀行口座そのものを不正に開設したことが判明しており、第三者は何らかの方法で取得した顧客の「ユーザーネーム」、「ログインパスワード」、「取引パスワード」等の情報を使用し、同社Webサイトで出金先銀行口座を不正な銀行口座に変更した上で出金を行っている。なお、同社システムからの「ユーザーネーム」、「ログインパスワード」、「取引パスワード」不正取得は確認されていない。

現在判明している被害状況は口座数6件で、その出金先銀行はゆうちょ銀行5件、三菱UFJ銀行1件、被害額はゆうちょ銀行9,229万円、三菱UFJ銀行635万円の合計9,864万円。

同社では本事案の判明後、対象の顧客に個別に連絡し対応するとともに、被害拡大防止の観点から今回判明した攻撃手法から不正アクセスの危険性があると考えられる顧客を幅広く特定し「出金停止」、「パスワード強制リセット」等の措置を講じている。また、全顧客について同社Webサイトでの出金先銀行口座の変更受付を停止し、詳細な本人確認が可能な郵送による変更手続きのみ受け付けることとしている。

同社では顧客に対し、他のインターネットサービス、特に他のオンライン証券やインターネットバンキングなどと同一のパスワードの利用を控えるよう注意を呼びかけている。

同社では再発防止策として、下記の施策を実施予定。

1.監視
不正アクセスに対する24時間モニタリング体制のさらなる強化
不正アクセス検知システム(WAF)による新たな攻撃手法への対応
不審なIPアドレスからのアクセス排除

2.認証
一定時間に一度しか利用できないワンタイムパスワードを利用したログイン認証の導入
普段と異なる環境からのログインを検知して顧客に通知し、アクセス遮断を行う仕組みの導入
顧客の手元にあるスマートフォンなど、特定端末からのアクセスのみを許可する機能の導入
同社Webサイトへの接続にかかる暗号化通信のさらなる高度化

3.本人確認
出金先銀行口座登録における本人確認の強化

4.その他
出金先銀行との連携強化
直接の出金を防止するATMカードの廃止(10月3日廃止予定)
EVERSPINによるダイナミックセキュリティ技術の導入
スマートフォンにおけるOS・アプリケーション改ざん等の検知機能
ソースコード暗号化機能
URLの暗号化機能 など
《ScanNetSecurity》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

★★10/15~11/30迄 創刊22周年記念価格提供中★★
★★10/15~11/30迄 創刊22周年記念価格提供中★★

2020年10月15日(木)~11月30日(月) の間 ScanNetSecurity 創刊22周年記念価格で提供。

×