アカウント乗っ取り（ATO）は、金融機関、eコマース、その他のオンラインデジタルサービスを標的とする攻撃の中で、最も多く発生し、被害額も最大です。犯罪者は、自動化されたボットやその他のサイバー犯罪手法を用い、盗まれた認証情報でユーザーアカウントにアクセスして制御し、金銭的利益を得たり、不正行為を働いたりします。アカウント乗っ取りによる不正の影響は現実のものです。Javelin 2022 ID Fraud Studyによると、米国の成人の22%がATOの被害に遭っています。
仕組み：アカウント乗っ取り詐欺の手口
アカウント乗っ取り詐欺は、一連のサイバー犯罪活動の末に発生するもので、通常は認証情報の窃取や侵害から始まり、それがクレデンシャルスタッフィング攻撃につながり、最終的にお客さまのオンラインアカウントが乗っ取られる可能性があります。アカウントを掌握した犯罪者は、口座から資金を引き出し、蓄積された価値を現金化し、そのアカウントをさらなる詐欺に悪用できます。
クレデンシャルスタッフィングの最も基本的な形態では、ボットによる「ブルートフォース攻撃」が行われます。この攻撃では、アカウントの認証情報と一致する組み合わせが見つかるまで、ランダムな文字の組み合わせをログインフォームに送信します。
認証情報はどのように盗まれるのか
より高度なクレデンシャルスタッフィング攻撃では、データ侵害によって盗まれたり漏えいしたりした、有効なユーザー名とパスワードの組み合わせが使用されます。盗まれた認証情報は、ダークウェブのマーケットプレイスで簡単に購入できます（Cyber Security Hubによると、2022年だけで220億件のデータレコードが流出しました）。
認証情報は、以下を含むさまざまなサイバー攻撃やその他のサイバー犯罪の手口によって盗まれることもあります。
- フィッシング攻撃：犯罪者がメール、テキストメッセージ、ソーシャルメディアのメッセージを使って人をだまし、ログイン認証情報、銀行口座情報、社会保障番号などの機密情報を開示させるソーシャルエンジニアリング攻撃の一種です。
- キーロギング、Magecart、スキミングなどのクライアントサイドマルウェア。攻撃者は、オンライン決済フォームに悪意のあるスクリプトを挿入して認証情報を窃取します。被害者が認証情報やクレジットカード情報を入力すると、スクリプトがそのデータを攻撃者に送信します。攻撃者は、その情報を不正行為に利用したり、ほかの犯罪者に販売したりできます。
- 中間者（MitM）攻撃：攻撃者が、データ通信を行う正当な2者の間にプロキシとして介在し、メッセージやデータトランザクションを傍受する攻撃です。これにより、攻撃者は両者間の情報やデータの転送を「盗聴」し、ログイン認証情報やその他の個人情報を収集できます。
サイバー犯罪者は、有効な認証情報を大量に入手すると、多くの場合、極めて大規模なクレデンシャルスタッフィングを開始できます。消費者の約3分の2が複数のWebサイトで同じユーザー名とパスワードを使い回しているため、サイバー犯罪者は大量の自動化ボットを駆使して、こうした使い回された認証情報を容易に悪用できます。漏えいした認証情報のかなりの割合が、他のサイトのアカウントへのアクセスにも使用できるためです。攻撃者はアカウントを乗っ取ると、認証情報を変更して正規のアカウント所有者を締め出し、資産を奪い、さらに別の不正行為にそのアカウントを利用できます。
アカウント乗っ取り詐欺の影響
ATOなどの攻撃によるデジタル詐欺の被害額は、2023年から2027年までに世界全体で3,430億ドルを超えると予測されています。出典：American Bankerの報道。
アカウント乗っ取りの影響は、金銭面だけにとどまりません。組織のブランドや評判も損なわれ、ビジネス機会の喪失や、セキュリティが脆弱だという認識による否定的な報道につながる可能性があります。ブランドが長期的なダメージを受けるおそれもあり、良好な評判を取り戻すには何年もかかる場合があります。
組織は顧客からの信頼や支持を失い、取引関係の解消につながる可能性もあります。企業の不十分なセキュリティ対策によってアカウント乗っ取りや多額の損失を伴う不正行為が発生すれば、顧客が不満を抱くのも無理はありません。
組織は、消費者データを保護できなかった場合、コンプライアンス上および法的な責任を問われる可能性もあります。EUの一般データ保護規則（GDPR）、カリフォルニア州消費者プライバシー法（CCPA）、Payment Card Industry Data Security Standard（PCI-DSS）などの法令や基準は、消費者データのプライバシーを確保することを目的としており、データ侵害が発生した場合には多額の制裁金が科されます。これには、個人データをボットにさらすATO攻撃も含まれます。
アカウント乗っ取り詐欺の検知
ATOの兆候を検知するには、ユーザーアカウントとアクティビティを監視することが重要です。
- アカウントアクティビティの予期しない変化に注意してください。 こうした変化には、新規または不正な取引、多額の引き出し、トラフィックの突発的かつ散発的な急増、パスワード、住所、振込先の変更リクエストなどがあります。このような異常なアクティビティは、アカウントが攻撃を受けている兆候である可能性があります。その場合は、パスワードや電話番号などのユーザー情報も変更されていないか確認してください。変更されている場合、アカウントが乗っ取られた可能性があります。
- 心当たりのないログイン試行に注意してください。ログイン試行が連続して失敗している場合、悪意のある第三者がクレデンシャルスタッフィングを用いてアカウントへの不正侵入を試みている可能性があります。通常とは異なる場所からのログイン試行や、普段アカウントが利用されていない時間帯のログイン試行には、特に注意してください。
- アカウントにアクセスする新しいデバイスや見覚えのないデバイスに注意してください。 新しいデバイスや不明なデバイスからのアクティビティは、アカウントが侵害されている、または詐欺行為者が盗んだ認証情報を使ってログインを試みている可能性を示します。同様に、複数のデバイスから1つのアカウントへのログインがある場合も、犯罪者による攻撃を受けている兆候である可能性があります。
- 不審なメールやテキストメッセージ。フィッシングメールなどの不審なメールが増えた場合、ユーザーが詐欺師に狙われている可能性があります。送信元が不明なデジタルメッセージの添付ファイルやリンクは決してクリックせず、電話やインターネットを通じてユーザー名、パスワード、個人情報、金融情報を他人に提供しないよう、お客さまに注意を促してください。正規の企業がメールやテキストメッセージでアカウント情報を求めることはありません。
アカウント乗っ取り詐欺の防止
ATOを未然に防ぐためのプロアクティブなアプローチには、多層的な保護対策と戦略が必要です。具体的には、ベストプラクティスに基づく手法、ユーザー教育の重視、インフラストラクチャのリアルタイム監視、強固な認証による保護などが含まれます。
ユーザー教育と意識向上
アカウント乗っ取りを防ぐうえで特に効果的な方法の1つは、リスクを見極めて回避するためのユーザー教育プログラムです。ATO攻撃は、多くの場合フィッシングから始まります。攻撃者は、ユーザーをだましてアカウントの認証情報を開示させたり、悪意のあるリンクをクリックさせたりしようとします。フィッシングメールやテキストメッセージは非常に巧妙な場合があり、特に、犯罪者がソーシャルメディアから収集できる個人情報が含まれていると、信じ込ませやすくなります。また、適切なパスワード管理の重要性をユーザーに理解してもらい、強固なパスワードポリシーの使用を徹底してください。
強力な認証対策
強力な認証では、ログイン時にユーザー名とパスワードに加えて、2つ以上の認証要素を提示する必要があります。強力な認証には、いくつかのアプローチがあります。
- 2要素認証（2FA）は、リソースやデータにアクセスする際の本人確認に2つの認証要素を必要とする、IDおよびアクセス管理のセキュリティ手法です。一般的には、メールやテキストメッセージで受信したワンタイムパスコードを、スマートフォンや自宅のコンピューターのブラウザなど、既知のデバイスに入力します。
- 多要素認証（MFA）は2FAと似ていますが、ログインを成功させるには少なくとも3つの認証要素を提示する必要があります。多くの場合、既知のデバイスでワンタイムコードを受信することに加え、指紋認証、網膜スキャン、音声認識などの生体認証を使用します。2FAとMFAはいずれもオンラインアカウントのセキュリティ強化に有用な手段ですが、ATO攻撃に対する最後の防御策としては、もはや十分ではありません。犯罪者による攻撃で容易に回避される可能性があり、ユーザー体験も損なうためです。
- リスクベース認証は、ログイン試行に伴うリスクのレベルに応じて、認証プロセスの要件を調整するアクセス管理手法です。たとえば、口座残高を確認するだけのログインでは、パスワードの変更や新しい口座への資金移動を行うログインよりも制限の少ない認証プロセスが適用されます。つまり、リスクのレベルが高まるほど認証プロセスは厳格になり、追加の認証要素と監視が必要になります。
アカウントの監視と監査
消費者と企業のいずれも、不審なアクティビティがないか、アカウントを定期的に監視および監査する必要があります。消費者は、金融口座や、ロイヤルティプログラム、ギフトカードなどの金銭的価値が保存されているアカウントに定期的にログインし、残高とアカウントのアクティビティを確認する必要があります。
企業や組織は、さまざまなテクノロジーを活用して、アカウントの継続的な監視と監査を自動化できます。たとえば、機械学習とAIベースの検知を用いるアカウント追跡システムは、ユーザーの通常の行動パターンと一致しない異常なアクティビティを特定し、不正行為の防止に役立ちます。
Webアプリケーションファイアウォール（WAF）
WAFは、Webアプリケーションに送信される悪意のあるHTTP/Sトラフィックをフィルタリング、監視、ブロックし、許可されていないデータがアプリケーションから流出するのを防ぐことで、Webアプリケーションを保護します。悪意のあるトラフィックと安全なトラフィックの判定に役立つ一連のポリシーに従って、これらの処理を行います。WAFは仲介役として、悪意がある可能性のあるクライアントからWebアプリケーションサーバーを保護します。
ATOアクティビティの検知に特化して設計されているわけではありませんが、WAFポリシーを調整することで、アカウント乗っ取り攻撃の特定とブロックに役立てることができます。また、WAFは、ブルートフォースによるクレデンシャルスタッフィング攻撃の前兆となることが多い、悪意のあるボットのアクティビティの特定にも役立ちます。
ネットワークにボットの検知と緩和を追加
ボットの大群により、犯罪者は攻撃を大規模化し、MFAによる制御を回避して、不正行為を実行できるようになります。自動化されたボットは、クレデンシャルスタッフィングやフィッシング攻撃など、割り当てられたタスクを遂行するために大規模に展開できます。ボット検知ソリューションは、偽アカウントの作成、在庫の買い占め、スクレイピング、認証情報のデジタルスキミングなどの悪意ある活動を可視化します。また、フォームジャッキング、デジタルスキミング、Magecartのほか、ブラウザベースのJavaScript脆弱性を悪用するクライアント側攻撃についてアラートを通知することもできます。
アカウント乗っ取り詐欺への対応
ダークウェブでは、盗まれた認証情報や侵害された認証情報が大量に出回っているため、組織が遅かれ早かれサイバー攻撃を受ける可能性はますます高まっています。組織は、サイバー攻撃が自組織とお客さまの双方に及ぼす影響に対処できるよう、堅牢な対応策とプロセスを事前に整備しておく必要があります。
インシデント対応計画
インシデント対応計画では、脅威イベントを特定した際に実施する具体的な手順、利用可能なリソース、コミュニケーション戦略を定めます。また、イベントに対応するためのプロトコルを規定し、計画を実行に移すための訓練を受けたインシデント対応チームを指定する必要があります。
お客さまへの通知とサポート
インシデント対応チームが影響を受けたお客さまに直接連絡し、発生した事象と、お客さまを保護するために講じている対策を説明することが極めて重要です。また、侵害されたパスワードを他のアカウントでも使用している場合は、変更するよう促す必要があります。信頼を取り戻すには、影響を受けたお客さまと継続的に連絡を取ることが重要です。
調査と修復
攻撃を検知した後は、インシデントを評価して封じ込め、その性質と範囲、および影響を受けたシステムを特定することが重要です。アクセスポイントを特定したら、影響を受けたアカウントへの攻撃者による不正アクセスを排除し、侵害されたアカウントが悪用されないよう修復する必要があります。不正行為からの復旧に関するレビューの一環として、同様の攻撃の再発防止策を分析します。
コミュニケーションと透明性
セキュリティ侵害や攻撃については、透明性を確保して情報を伝えることが重要です。情報を伏せると、規制当局、メディア、消費者から隠蔽と受け取られ、攻撃による経済的影響が大幅に拡大する可能性があります。
まとめ
現在、デジタル決済を発行または受け付けるあらゆる組織がATOの標的となっており、攻撃の脅威は増大し続けています。そのため、オンライン事業者、金融機関、サービス組織はジレンマに直面しています。つまり、より便利なオンラインサービスやアプリを求める顧客のニーズに応えるほど、詐欺やその他のサイバー犯罪のリスクが高まります。アカウントが侵害されると、不正行為者が資金を引き出したり、商品やサービスを盗んだり、決済情報にアクセスして他のサイトで悪用したりする可能性があります。その結果、顧客離れを招き、収益が損なわれます。
従来の2FAおよびMFAによる制御だけでは、高度化するATO攻撃を仕掛けるサイバー犯罪者を阻止できなくなっています。ATOを防止するには、意図を評価し、デジタル体験を効率化するとともに、不正のパターンやリスクの高い取引を実行前に特定してATOを阻止する、セキュリティと不正防止のエンドツーエンドのアプローチが必要です。
F5がどのように支援できるか
F5のセキュリティおよび不正防止ソリューションは、単一のプラットフォーム上で、業界で最も包括的なアカウント乗っ取り対策を提供します。脅威インテリジェンスモデリングや機械学習などの高度なテクノロジーを使用して攻撃者の手法を検知し、Distributed Cloud Bot Defenseは適切な対策をリアルタイムで展開することで、ボットによる不正行為やアカウント乗っ取り（ATO）に最大限の効果で対抗します。Distributed Cloud Authentication Intelligenceはカスタマージャーニー全体を通じて正規ユーザーを識別し、Distributed Cloud Client-Side Defenseはクライアント側でのデジタルスキミング攻撃に関するリアルタイムのインサイトを提供します。
ログイン後の不正行為を迅速に排除するDistributed Cloud Account Protectionと組み合わせることで、F5 Distributed Cloudのセキュリティおよび不正防止プラットフォームは、意図を評価し、デジタル体験を効率化するとともに、放置すれば不正行為、収益損失、顧客ロイヤルティの低下につながるATOの試みを阻止する、エンドツーエンドのアプローチを提供します。
