実益を狙った攻撃が拡大

実際はもっと深刻？　サイバー攻撃に狙われる世界の主要銀行

世界の主要銀行50行のWebサイトのうち、半数以上がハッキング被害に遭っている。そうした実態が調査結果から明らかになった。銀行は果たしてどのような攻撃を受けているのだろうか。

公開 2014年01月10日 08時06分

更新 2014年07月21日 23時36分

著者

Warwick Ashford

[Computer Weekly]

印刷する Googleで優先するソースとして追加

　世界で最大規模の銀行50行のWebサイトのうち半数以上は、過去8年間にセキュリティインシデントを経験したことがあるという実態がこのほど明らかになった。

　スイスのITセキュリティサービス企業、High-Tech Bridgeの調査によると、検出されたインシデントのうち、リスクが高い、またはリスクが重大なインシデントは全体の15％を占め、11の銀行に影響が及んだ。

インシデントは英国、米国、カナダ、フランスの4カ国に集中

　102件のインシデントのうち46％は軽微または中程度のリスクで、23の銀行に被害があったと調査は明らかにした。この調査結果は、英国の金融業界全体が参加した、対サイバー攻撃演習の実施に合わせて公表された。

　対サイバー攻撃の大規模な演習、2回目の「Waking Shark作戦」が実施されたのは2年ぶりである。この演習の目的は、英国の金融機関のITインフラが、執拗なサイバー攻撃にどこまで耐えられるかを見極めることだった（関連記事：「金融機関をハッキングせよ」　英国でサイバー攻撃演習が実施）。

　銀行が経験したセキュリティインシデントの回数を集計した結果、米Bank of Americaの12回が最も多く、次いで中国HSBC（香港上海銀行）とカナダのBank of Montrealがいずれも10回、英Barclaysが9回だった。

　インシデントの発生は英国（19.6％）を筆頭に、米国、カナダ、フランスの4カ国に集中している。デンマーク、イタリア、日本ではインシデントの報告はなかった。

　調査期間中、自行のWebサイトがセキュリティインシデントに遭わなかった銀行は、50行のうち24行で、英Lloyds銀行グループ、みずほフィナンシャルグループ、中国Bank of China（中国銀行）、三井住友フィナンシャルグループ、オランダRabobank、米Goldman Sachs、豪National Australia Bank、カナダScotiabankなどだった。

　実際のインシデントの数は恐らくもっと多いと、調査チームは指摘している。インシデントが発覚しないまま見過ごされる例も珍しくなく、銀行側が自行の評判が傷つくのを恐れて公表を避けたケースも考えられるからだ。

　今回の調査の目的は、セキュリティ保護が施されていないWebアプリケーションがどの程度広がっているのかを評価することと、Webサイトが被害に遭っている銀行がどれだけあるかを明らかにすることだった。

　調査方法を簡略化するため、セキュリティベンダーHigh-Tech Bridgeは、各銀行のメインのWebサイトおよびそのサブドメインのみを調査対象とした。本店以外の支店などが開設しているWebサイトは対象から外した。

金融機関はWebアプリケーションのセキュリティに細心の注意を

　インシデントの79％を占めたのはクロスサイトスクリプティング（XSS）攻撃で、それに続いたのはSQLインジェクション（SQLi）で4％だった。

　「今回の調査は、セキュリティ関連で広く知られているインシデントのみを対象としたもので、同じく一般的なDDoS（分散型サービス拒否）攻撃やフィッシング詐欺は含んでいないにもかかわらず、件数が多かった」と語るのは、High-Tech BridgeのCEO、イリヤ・コロチェンコ氏だ。

　同氏はさらに「この集計結果で、金融機関側もWebアプリケーションのセキュリティにさらに細心の注意を払う必要があるということが裏付けられた。顧客を保護するためだけでなく、IT面での自行の評判を落とさないためにもだ」と続けた。

　「世間を大きく騒がせるほどのインシデントが2013年にはほとんどなかったが、だからといってWebアプリケーションの安全性が高まったというわけではない」と同氏は指摘する。

　「ハッカーの目的も変わってきている。最近のハッカーは（セキュリティを破ったという）名誉よりも実益を狙っている。だから、周囲に悟られないようにこっそりWebシステムに侵入してくる」と、コロチェンコ氏は注意を促している。

印刷する

この記事の著者

Warwick Ashford

実際はもっと深刻？　サイバー攻撃に狙われる世界の主要銀行

関連記事

インシデントは英国、米国、カナダ、フランスの4カ国に集中

関連記事

金融機関はWebアプリケーションのセキュリティに細心の注意を

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

実際はもっと深刻？ サイバー攻撃に狙われる世界の主要銀行

関連記事

インシデントは英国、米国、カナダ、フランスの4カ国に集中

関連記事

金融機関はWebアプリケーションのセキュリティに細心の注意を

この記事の著者

関連記事

個人の金融情報も監視？ スノーデン暴露で物議を醸す金融市場

「金融機関をハッキングせよ」 英国でサイバー攻撃演習が実施

サイバー攻撃に備える「セキュリティ天気予報」とは

銀行に対する最大のリスクは今やサイバー攻撃

15年で激変した金融機関のセキュリティ担当者の仕事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

実際はもっと深刻？　サイバー攻撃に狙われる世界の主要銀行

個人の金融情報も監視？　スノーデン暴露で物議を醸す金融市場

「金融機関をハッキングせよ」　英国でサイバー攻撃演習が実施