数か月前から証券口座の乗っ取り被害に関する報道を目にします。
日経新聞 : 証券口座乗っ取り、大手10社が被害補償の方針表明へ
不正ログインで考えられる手段としては、フィッシングメールや、
インフォスティーラーというウィルスなどが挙げられます。
被害の方の話をで行くと、どうもこれらに該当しないものがあります。
なので、単にセキュリティの理解が低い方が被害を受けている
…というのではなく、
セキュリティ意識が高い方でも被害に合っている
というのが現実ではないかと考えています。
というわけで、今日は「証券口座乗っ取り」に関し、記事を書いてみます。
メールを開いていない
ニュースで被害者の方の報告などが報道されています。
上記の動画では、AIの進歩で、フィッシングメールなどの言語の壁がなくなったのも原因の一つで、
メールの文面がおかしくないことで、詐欺メールに気づくとあります。
…これって、詐欺メールは海外だけということでしょうか。
ちょっと疑問に思いました。
確かに、海外の詐欺メールは多いですが、日本語の間違いだけで詐欺を防げるかといえば疑問です。
一般的な見分け方
メールアドレスを確認することが挙げられます。
テキトーな、フリーメールアドレスで遅れてきてますが、
@以降のドメイン部分はごまかせないので、ここで見分けれます。
例： xxxx@inaplus.org
でも、メールヘッダー部分を偽造しているのか、
携帯などのアプリでは判別できないものがたまにあります。
これはPCメールに転送すれば偽造していることが判別できますが、
そもそも、「迷惑メール」に仕分けされていたりするので、気にしないでいいです。
原因は他にある
フィッシングメールは一般的過ぎて、今回のような大規模な乗っ取りは起こり得ないと思います。
フィッシングメール以外でいうと下記の方法が考え付きます。
- Webサイトの偽造
- コンピュータウィルス
- 証券会社以外のサイトからの漏洩
- OSレベルのセキュリティホールを狙う
Webサイトの偽造の対策
公式（電子証明書などを確認）のWebサイトをブックマークしておき、
ブックマーク経由でしかログインをしない。
下記は「amazon」を検索すると、最上位に表示される amazon.co.jp が
最も信頼できるとおもいますが、こちらは下記の赤枠のような「確認済み」という印がありません。
こちらはブラウザの機能でも、ブロックしてくれたりしますが、
バージョンが古かったりすると、その機能がなかったりして危ないかなと思います。
実際アドレス部分をコピーすると、上位はamazonアドレスではなくbingの検索結果だったりします。
これを考えると、証券口座など該当のサイトにアクセスする際、
毎回検索していると、このリスクは防げないと思いますので要注意です。
コンピュータウィルス
こちらに関しては、ウィルス対策ソフトを導入して対応するしかないと思います。
証券口座などを利用するコンピュータであれば、ウィルス対策は必須です。
ただし、ウィルス対策ソフト自体も安ければいいというのではなく、
有名なものが良いと思います。
ウィルス対策ソフト自体が、ジョークプログラムだったり、
トロイの木馬という裏プログラムがある場合もありますので注意が必要です。
情報漏洩
こればかりは、利用者側で防げるのはパスワードを定期的に変更すると、
パスワードを使いまわさないくらいしか対策がありません。
パスワードを変えるにも、強度が重要なので、
最低でも記号いれた3種混合で16桁以上が良いです。
ただし、こちらもコンピュータの進歩で、少しすれば32桁以上が最低レベルになります。
8桁などでは危険すぎますのでご用心を。
セキュリティホール
これはOSを頻繁にアップデートしていくしかありません。
しかもアップデートが間に合わず、攻撃を受けてしまう場合もあるので注意が必要です。
前職で、とある生命保険会社のWebサイトのセキュリティ診断をしていたことがあります。
データを取得していた期間は 8月～11月までですが、
物凄い数（1日10数万件）の攻撃を受けていました。
それも一般的なCMS（コンテンツ・マネジメント・システム）のログインを試みたり、
PHPというプログラミング言語のバグをついたりと様々。
いまは常時接続が当たり前なので、個人宅でもこのような攻撃を受けているかもしれません。
我が家の対策
管理者は僕なので、以下のように気を付けています。
・パスワードは16桁以上 ※上限が決まっているものは最大文字数
・ウィルス対策ソフトの導入 ※Windows PCのみ
・自前ドメインでのメールアドレスで登録
・フリーメールアドレス使用の場合は、すぐに確認できるよう他のメールに転送
などです。
googleアカウント、apple id、マイクロソフトIDなども、
多様認証で管理しています。
以上をしていますが、冒頭の証券口座乗っ取りをふせげるのかは半信半疑です。
なぜかといえば、これだけの被害者がいるということは、
僕の以上にセキュリティを徹底されている方でも被害者はいると思っているからです。
まとめ
マーケットの混乱は少しおちついてきましたが、
この乗っ取り事件は、まだまだ解決されていませんので、心配しか残りません。
また、昨日は、超有名投資家さんも被害に合われたそうで…
自分がしている対策に不安を感じています。
8:00すぎたので、デイトレの準備します。
では、また。
