ボットネット急増中！大規模なコンピュータ感染とデータ漏えいの把握 （その4 全4回）
スパイアイ感染 (SPYEYE INFECTIONS)
ネット犯罪者達が銀行のシステムへの不正侵入に一度成功したら、彼らは単に銀行業務に関する情報を手に入れるだけではなく、その顧客が持つパソコンのネットワーク・アドレスなどのバンキング認証情報へのアクセス権をも取得する。ネット犯罪者達は今やスパイアイ・マルウェアを顧客のコンピュータに感染させることができ、それを利用して個人識別情報を詐取し、（コマンドとコントロールの中心となる）C&Cサーバを介して感染させたコンピュータを遠隔操作することができる。
スパイアイ・マルウェアは、顧客がオンラインバンキング取引を行う時のキーボードの打ち込みを記録し、その人のブラウザにその人の銀行口座にアクセスするプログラムをこっそりと挿入する。ウェブインジェクションは、ブラウザ上のウェブページ画面を改ざんすることによって、ネット犯罪者達に被害者の銀行口座に関係するオンライン用の個人識別情報を騙して漏えいさせることも可能にする。銀行には一体何が起きているのか何の手がかりも無い。なぜなら銀行としては、ネット犯罪者ではない銀行の普通の顧客がログインし取引を行っているとしか考えられないからである。
盗まれた情報はネット犯罪者達のC&Cサーバに送られ、彼らはその情報を使って彼らの口座へ電信で送金を行う。「ウェブ感染は、口座に積まれた金が盗まれた資金と見なされないようにブラウザを操ることもできる」と、マカフィーで先端研究と脅威諜報のディレクターを務めるディビット・マルクス(David Marcus)は、ケン・プレスティ(Ken Presti)による2012年7月26日のCRN (The Channel Company)での記事、「ゼウスとスパイアイをベースとしたマルウェアがビジネスと高所得者向け銀行口座を狙っている(Malware Based on Zeus And SpyEye Targets Business and High-End Bank Accounts, http://tinyurl.com/oyd93qq)」の中で述べている。「銀行側から見ると、それは全く不正とは見えない。なぜならユーザが自らの意思でログインし、事を行っていると見えるからである」ネット犯罪者達は、クレジットカード情報など銀行顧客のその他の個人特定情報も同様に盗み出し、その情報を偽のクレジットカード作成のために使えるように、自分達のサーバに転送する。ネット犯罪者達は時々、バンキング認証情報、クレジットカード番号、ユーザ名、パスワード、PIN番号などの盗んだ個人情報を地下組織のハッキングフォーラムで個人情報窃盗犯達に販売する。一度感染すると、被害者のコンピュータはボットネットの「C&C」インフラの一部となる。これは被害者にとって二重の不幸である。つまりひとつは金銭の喪失であり、もうひとつは今や知らないうちに自分のコンピュータをネット犯罪者の不正行為のために「賃料なし」で使わせているということである。
データ漏えい追跡 (TRACKING DATA BREACHES)
ハッカー達が作り出す問題の領域をさらに良く把握するために、米国のいくつかの主要な連邦機関においては、内部の連絡先、顧客、政府機関、メディア、その他の情報源から情報を得て、情報漏えいをタイプ別と産業部分野別に分類した各種モデルケースを割り出し、監視し、そしてそれを使用している。その作業グループにはプライバシー権情報センター（Privacy Rights Clearinghouse, PRCH）、ベライゾン・ビジネス(Verizon Business)、ID窃盗情報センター(Identity Theft Resource Center)が参加している。
多くの組織は経験した情報漏えいを消費者や法執行機関に報告しない。たまには州法によって組織が情報漏えいの犠牲になったことを消費者に報告することが要求されることはある。だが、そのような法の多くはそれら組織に報告を免除する、または報告しないことを認める「免責」条項をもつという抜け穴がある。組織は報告することには後ろ向きである。その理由としては、悪評の恐れ、投資家が逃げ出した後の株価への影響、消費者が競合他社に逃げ込んだ後の売上げや利益の喪失、消費者への告知にかかるコストがある。
だからほとんどの情報漏えいは報告されずじまいなのである。
パート2では、情報漏えいの最新統計、より多くの過去の事例、そしてあなたはどのようにしたらコミュニティを助けることができるか、を述べる。
---------------------------------------
初出：FRAUDマガジン44号（2015年6月1日発行）
