盗まれているのは「鍵」ではなく「入館証」

ネットバンキングにログインすると、銀行はあなたのブラウザに小さなデータを渡します。これがCookie（クッキー）です。正確には「セッションCookie」と呼ばれるもので、中身はランダムな文字列です。

これが何をしているかというと、「この人はさっきログインを済ませた本人です」という証明書の役割です。ページを開くたびにパスワードを聞かれないのは、このCookieをブラウザが毎回自動で提出しているからです。

ここが肝心なところです。パスワードを変える行為は「玄関の鍵を交換する」ことに相当します。これから入ってくる人は止められます。でもすでに館内にいる人には何の影響もありません。

攻撃者を追い出すには、銀行側が「発行済みの入館証を無効にする」処理をしてくれる必要があります。そして、その処理をしてくれるかどうかが、この記事の本題です。

どうやってCookieが盗まれるのか

この手口で使われるのがインフォスティーラー（Infostealer／情報窃取型マルウェア）と呼ばれる種類のウイルスです。日本語では「情報を盗むウイルス」くらいの意味で、近年国内外のセキュリティ機関から繰り返し注意喚起が出ています。

「じゃあ二段階認証は無意味なのか」というと、そうではありません。パスワードだけを盗まれたケース、フィッシングでIDとパスワードを入力してしまったケースには、しっかり効きます。効く攻撃と効かない攻撃があるだけです。設定はしてください。

入館証を盗まれた後の話です。銀行側の設計次第で、被害が数分で止まることもあれば、何日も続くこともあります。専門家が見るポイントは7つあります。順に、できるだけ噛み砕いて説明します。

調べたのは、三菱UFJ銀行・三井住友銀行・みずほ銀行・りそな銀行・楽天銀行・ドコモSMTBネット銀行（旧 住信SBIネット銀行）・PayPay銀行・ソニー銀行・auじぶん銀行・SBI証券・楽天証券・マネックス証券・松井証券・野村證券の14社です。

各社の公式サイト、よくあるご質問、利用規定、操作マニュアルを全社まったく同じ手順で調べ、7つの要素それぞれについて「具体的な数値まで書いてある／存在だけ書いてある／見つからない」を記録しました。

「開示の量」を点数にすると、最高でも14点中5点

7つの要素それぞれを「数値まで明記＝2点／存在だけ言及＝1点／見つからない＝0点」で採点しました。これは安全性の点数ではなく、「どれだけ説明しているか」の点数です。

調べていて気になったこと

2社で、かつて公開されていた情報に、いま到達できない状態を見つけました。

りそな銀行には「（セキュリティ）操作を行っていない場合、自動的にログアウトされる時間を教えてください。」というよくあるご質問のページが存在します。しかし開くと別のページへ自動転送され、転送先には時間の記述がありません。検索エンジンには元のタイトルだけが残っています。

SBI証券では「スマートフォンサイトは何分で自動的にログアウトされますか？（60分で自動ログアウト）」というページが検索エンジンに登録されているのに、そのURLを開くと「お探しのページは見つかりません」と表示され、トップページへ戻されます。

ただしログイン画面では意味が変わります。ブラウザは「これは銀行が書いたプログラム」「これは広告会社のプログラム」を区別しません。同じページに載った時点で、全部が同じ権限を持ちます。

そのうえ、これらのプログラムは銀行のサーバに保存されているわけではありません。利用者がログイン画面を開くたびに、外部の会社のサーバへ取りに行って、返ってきたものをその場で実行しています。中身を毎回検査してはいません。

実際に14社のログイン画面を1回ずつ開いて、外部から読み込まれたプログラムの配信元の会社の数を数えました。結果には大きな差がありました。

合わせて確認した「ブレーキ」

外部プログラムが暴走したとき、ブラウザ側で止める仕組みがあります。CSP（コンテンツセキュリティポリシー）といって、「このページでは、この会社のプログラム以外は実行しない」とあらかじめ宣言しておくものです。

調べたところ、これを効かせていたのは三菱UFJ銀行とりそな銀行の2社だけでした。

ここからは地方銀行・信用金庫の話です。全国の地方銀行・第二地方銀行・信用金庫から74行を選び、ネットバンキングの入口を調べました。その結果、65行について使っているシステムを特定でき、そのうち62行が、ごく少数の共通システムを使っていました。

証拠は、ログイン画面のURLそのものです。たとえばこうなっています。

各行のログインアドレスは、この末尾4桁だけが違います。ホスト名もその手前のパスも、全行まったく同じです。そしてこの4桁の多くは、実在の金融機関コードと一致していました。01番台が地方銀行、05番台が第二地方銀行、1番台が信用金庫という体系まで揃っています。業態を越えて、同じ土台に乗っているということです。

※ すべてが金融機関コードというわけではなく、9000番台の別の番号が割り当てられている行も3行ありました（紀陽銀行・但馬銀行・静岡銀行）。また、この調査では各行の公式サイトからリンクされているアドレスを確認しただけで、番号を書き換えて他行の画面を開く行為は行っていません。

「うちのドメインだから独自開発」ではない

興味深いのは、自社のアドレスを使っていても、中身は共通システムだった行が12行あったことです。

千葉銀行のアドレスは自社ドメインですが、その後ろの構造は東邦銀行・伊予銀行と1文字も違いません。足利銀行にいたっては、ログインボタンの中身がページのプログラムに埋め込まれており、そこに共通システムのアドレスが書かれていました。

❶ 感染に気づいたとき、最優先は「パスワード変更」ではない

ここが一番実用的な話です。ウイルス感染が疑われるとき、多くの人はまずパスワードを変えます。順番が違います。

❷ 「全端末からログアウト」ボタンがあるか、今のうちに確認しておく

これがこの記事で唯一おすすめできる「金融機関の見比べ方」です。実装の中身は分かりませんが、ボタンがあるかどうかは、あなたがログインすれば自分の目で確認できます。

❸ そもそも感染しないための、地味だが効く3つ

すべてログインする前の観測です。アカウントを作らず、ログインも試みず、通常のブラウジングの範囲だけで調べました。したがって、ログイン後のCookieがどう管理されているかは一切分かりません。

外部プログラムの本数は1回の観測値です。Cookie同意バナーは押していないので、同意するとさらに増える会社があります。日や条件でも変わります。

スマートフォンアプリは対象外です。アプリは仕組みが違い、Web版よりログイン状態が長く保たれる傾向があります。本来はそちらのほうが重要ですが、通信の中身を見るには踏み込んだ操作が必要なため、今回は範囲外としました。

「開示していない＝実装していない」ではありません。この記事で何度も書いてきたことですが、最後にもう一度書いておきます。今回明らかになったのは実装の欠如ではなく、利用者が確かめる手段の欠如です。