JP2020107340A - インターネットバンキングシステム及び不正アクセス遮断用中継装置 - Google Patents

Abstract

【課題】金融機関内の重要情報流出等を防止することのできるセキュアなインターネットバンキングシステム及び不正アクセスを遮断する装置を提供する。【解決手段】クライアント端末とアプリケーション提供部との間にインターフェイス提供部を介在させ、インターフェイス提供部からクライアント端末に送信するファイルには資金移動に関するリンク先のＵＲＬ等の特定情報を含ませない。端末３３０とサービス提供装置３２０との間に情報処理装置３１０を介在させ、端末３３０と情報処理装置３１０間と、サービス提供装置３２０と情報処理装置３１０間の各セッション情報を管理することによって、不正アクセスを遮断する。【選択図】図６

Description

本発明は、インターネットバンキングシステム及び不正アクセス遮断を行う技術に関する。

近年、金融機関は、パーソナルコンピュータや携帯型情報端末などからインターネット回線を経由して、預金残高・入出金明細照会、口座振込・振替、定期預金・外貨預金の口座開設、投資信託の購入等を行う、インターネットバンキングのサービスを提供している。ユーザはインターネットバンキングの取引専用サイトにアクセスして、上述の様々な取引をすることが可能となるので、金融機関は利便性の高いサービスを提供することができる。

一方、インターネットバンキングの不正引き出しや、インターネットバンキングシステムを構成するサーバ等への不正侵入を防ぐために、各種のセキュリティ対策が実施されている。一般的には、クライアントとインターネットバンキングシステム間の通信の暗号化、パスワードの複数化、端末・ネットワーク環境解析に基づく不正アクセスブロック、ソフトウェアキーボードの導入、等の対策がなされている。

上記のセキュリティ対策は、例えばインターネットバンキングのサービスを提供する金融機関のサーバが設置される機密ネットワーク側と、公開ネットワーク側の間に、セキュリティサーバ等を設置して、不正アクセスの判別等を実施させることが知られている。

特開２００２−４１４６８号公報

インターネットバンキングシステムに対する不正アクセス等は、種々の手法が存在する。最近では、インターネットバンキングを利用するユーザの端末にマルウェアを感染させてボット化させ、Ｃ＆Ｃ（Ｃｏｍｍａｎｄ ａｎｄ Ｃｏｎｔｒｏｌ）通信を用いた金融機関のサーバに対する攻撃が報告されており、対策が急務となっている。

本発明の一実施形態に係るインターネットバンキングシステムは、クライアント端末と通信ネットワークで接続され、クライアント端末に予め定めたリンク先の情報を含まないウェブページを提供し、クライアント端末からウェブページ画面制御情報を受信するインターフェイス制御部と、認証機能とアプリケーション制御機能を有し、インターフェイス制御部から画面制御情報を受信するアプリケーション制御部とを有する。

また、本発明の一実施形態に係るインターネットバンキングシステムは、ユーザ認証が行われたときに、インターフェイス制御部とアプリケーション制御部間の第１セッションを確立するとともに、インターフェイス制御部とクライアント端末間の第２セッションを確立し、第１セッション又は第２セッションのいずれかが切断されたときに、他方のセッションを切断するセッション管理部をさらに有してもよい。

また、本発明の一実施形態に係るインターネットバンキングシステムは、セッション管理部がクライアントごとに第１セッション及び第２セッションを管理し、第１セッション又は第２セッションが書き換えられた場合に、不正アクセスを検知することを含んでもよい。

また、本発明の一実施形態に係るインターネットバンキングシステムは、インターフェイス制御部とアプリケーション制御部が、それぞれ別のサーバで構成され、ネットワークによって接続されることを含んでもよい。

また、本発明の一実施形態に係るインターネットバンキングシステムは、インターフェイス制御部を構成するサーバがクラウドサーバであることを含んでもよい。

また、本発明の一実施形態に係る不正アクセス遮断用中継装置は、サービス提供装置と情報処理装置との間の第１セッション情報と、マルウェアに感染した可能性のある端末を含む、記憶部または演算処理部を備える任意の端末と該情報処理装置との間の第２セッション情報とを関連付けて記録するセッション情報管理部と、第１セッション情報に基づきサービス提供装置より取引電文を受信する第１受信部と、取引電文を保持する保持部と、取引電文より端末に対して送信する画面遷移情報を除去する除去部と、第２セッション情報に基づき、除去部により除去された画面遷移情報を除く取引電文を端末に対して送信する第２送信部と、第２セッション情報に基づき任意の端末から取引要求電文を受信する第２受信部と、取引要求電文より任意の端末において入力された入力情報を抽出する抽出部と、入力情報を保持部により保持された取引電文に付加して、サービス提供装置に向け送信する第１送信部とを備える。

また、本発明の一実施形態に係る不正アクセス遮断用中継装置は、セッション情報管理手段部が、第２セッション情報が無効化されたときに、対応する第１セッション情報を無効化することを含んでもよい。

また、本発明の一実施形態に係る不正アクセス遮断用中継装置は、セッション情報管理部が、端末からの取引要求電文受信時刻からの経過時間が一定値以上となったときに、第２セッション情報を無効化するとともに、第２セッション情報に対応付けられる第１セッション情報を無効化することを含んでもよい。

本発明によれば、マルウェアが起動するトリガを与えないことによって、金融機関内の重要情報流出等を防止することのできる、セキュアなインターネットバンキングシステムを提供することが可能となる。

また、本発明によれば、端末とサービス提供装置との間に情報処理装置を介在させ、端末と情報処理装置間と、サービス提供装置と情報処理装置間の各セッション情報を管理することによって、不正アクセスを遮断する装置を提供することが可能となる。

本発明の一実施形態に係るインターネットバンキングシステムの概要図 本発明の一実施形態に係るインターネットバンキングシステムの、クライアント端末がインターネットバンキングシステムに接続する際の状況を表した図 本発明の一実施形態に係るインターネットバンキングシステムの、クライアント端末がインターネットバンキングシステムに接続する際の状況を表した図 本発明の一実施形態に係るインターネットバンキングシステムのシーケンス図 本発明の一実施形態に係る不正アクセス遮断用中継装置の概要図 本発明の一実施形態に係る不正アクセス遮断用中継装置と、情報処理装置、サービス提供装置及び端末との関係を示した概略図 本発明の一実施形態に係る不正アクセス遮断用中継装置３００の内部処理を示した図 従来のインターネットバンキングシステムの概要図

以下、本発明の実施形態について図面等を参照しながら説明する。ただし、本発明は多くの異なる態様で実施することが可能であり、以下に例示する実施形態の記載内容に限定して解釈されるものではない。

また、以下に説明する発明の内容については、同一部分又は同様な機能を有する部分については同一の符号を異なる図面間で共通して用い、その場合において特段の事情がない限り繰り返しの説明は省略する。

［本願発明に至る経緯］
最近の傾向として、インターネットバンキングシステムへの攻撃を目的とするマルウェアは、クライアント端末に感染すると活動せずに常駐するものがある。この種のマルウェアは、ウェブブラウザを監視し、攻撃対象とする金融機関のインターネットバンキングのウェブサイトが閲覧されること等をトリガとして、活動を開始する。インターネットバンキングシステムからクライアント端末へ送信されるＨＴＭＬファイル内には、次画面に遷移するためのＵＲＬ等の情報が記載されており、特に振込、振替、送金等の資金移動に関するリンク先のＵＲＬをトリガとして、マルウェアが起動する特性があることを、発明者は発見した。

図７は、従来のインターネットバンキングシステムの概要図である。従来のインターネットバンキングシステム２００は、通信ネットワーク４０を介してクライアント端末３０と接続され、ＨＴＭＬファイル２６０を送信する。ＨＴＭＬファイル２６０には、次画面に遷移するためのリンク先のＵＲＬなどの特定文字列が記載されている。ここで、クライアント端末３０がマルウェア６０に感染した場合、マルウェア６０はクライアント端末３０に常駐し、従来のインターネットバンキングシステム２００から受信したＨＴＭＬファイル２６０を監視する。マルウェア６０は、ＨＴＭＬファイル２６０中の特定文字列をトリガとして活動を開始し、Ｃ＆Ｃ端末５０に情報を送信し、Ｃ＆Ｃ端末から従来のインターネットバンキングシステム２００に対して不正なアクションを実行する。

発明者は、上記マルウェアの特性を発見し、金融機関側のサーバとクライアント端末間に、金融機関側のネットワークから分離された、クライアント端末に操作環境を提供するインターフェイス制御サーバを介在させ、インターフェイス制御サーバからクライアント端末に送信するＨＴＭＬ等のファイルに特定文字列を含ませないことによって、上記課題を解決することを見出した。

さらに、発明者は、上記インターフェイス制御サーバを介在させ、クライアント端末とインターフェイス制御サーバ間と、インターフェイス制御サーバと金融機関側のサーバ間の各セッションを適切に管理することによって、マルウェアによる攻撃を検知することを見出した。

以下、図面を参照しながら、本発明の実施形態について説明する。なお、以下に示す実施形態は本発明の実施例の一つであって、本発明はこれらの実施形態に限定して解釈されるものではなく、種々の変形を行ない実施することが可能である。また、本実施形態で参照する図面において、同一部分または同様な機能を有する部分には同一の符号を付し、その繰り返しの説明は省略する場合がある。

［第１実施形態］
図１は、本発明の一実施形態に係るインターネットバンキングシステムの概要図である。

図１を参照すると、本発明の一実施形態に係るインターネットバンキングシステム１００は、インターフェイス制御部１０と、アプリケーション制御部２０とを有する。インターフェイス制御部１０とアプリケーション制御部２０は、それぞれ単独又は複数のサーバによって構成される。以下、本明細書中で単にサーバというときは、複数又は単独のサーバを指すこととする。

インターフェイス制御部１０とアプリケーション制御部２０は、クローズな通信ネットワークによって接続され、典型的には金融機関内部の専用回線が用いられる。インターフェイス制御部１０のアプリケーション制御部２０接続側には、ネットワーク分離用のファイアウォールが設定されてもよい。この場合、アプリケーション制御部２０からは特定サーバ間を除くＨＴＴＰ／ＨＴＴＰＳ通信が遮断される。

インターフェイス制御部１０は、クライアント端末３０と通信ネットワーク４０を介して接続される。クライアント端末３０は、パーソナルコンピュータ、タブレットコンピュータ、携帯電話、スマートフォン、あるいはテレビ装置等の通信ネットワークに接続可能な電子機器によって構成される。インターフェイス制御部１０とクライアント端末３０両者間の通信には、ＳＳＬ等の暗号化通信が用いられる。インターフェイス制御部１０は、クラウドサーバを構成して実現してもよい。

アプリケーション制御部２０は、インターネットバンキングにおける預金残高・入出金明細照会、口座振込・振替、定期預金・外貨預金の口座開設、投資信託の購入等のサービスを提供するための、アプリケーションサーバ２２、データベースサーバ２４を有する。さらに、インターネットバンキングシステムを利用するユーザの認証を行うための、認証サーバ２６を有する。

図２Ａ及び図２Ｂは、本発明の一実施形態に係るインターネットバンキングシステムの、クライアント端末がインターネットバンキングシステムに接続する際の状況を表した図である。

ユーザは、クライアント端末３０のＷＥＢブラウザを起動して、インターネットバンキングシステム１００への認証を試みる。図２Ａを参照すると、クライアント端末３０のディスプレイ３１に、ウェブブラウザによってインターフェイス画面３２が表示されている。インターフェイス画面３２にはログイン画面表示ボタン３３が配置されており、ユーザはログイン画面表示ボタン３３をクリックすることによってインターネットバンキングシステムへのログイン画面３５を表示する。あるいは、ディスプレイ３１上にインターネットバンキングへのログイン画面を表示するためのログイン画面表示アイコン３４が作成されており、ユーザはログイン画面表示アイコン３４をダブルクリックして直接ログイン画面３５を表示してもよい。

このとき、インターフェイス制御部１０とクライアント端末３０はネットワークで接続されている。ただし、インターフェイス制御部１０とアプリケーション制御部２０間、及びインターフェイス制御部１０とクライアント端末３０間には、セッションは確立されていない。

インターフェイス制御部１０は、クライアント端末３０にログイン画面３５を表示させる。図２Ｂを参照すると、ログイン画面３５には、契約番号やログインパスワードの入力部や、ログインボタン等が表示され、一見すると従来技術におけるインターネットバンキングシステムへのログイン画面と同じ外観の画面が表示されていることがわかる。ログイン画面３５は、その全体又は一部がビットマップ等の画像データで構成される。

ログイン画面３５を構成するＨＴＭＬファイルには、次ページに移動するためのリンク先のＵＲＬ等の特定情報は、記載されていない。ここで、特定情報とは、振込、振替、送金等の資金移動に関するリンク先のＵＲＬ等の情報をいう。

ユーザがログイン画面３５上におけるマウスクリックやキー入力等の操作を行うと、ログイン画面３５上の位置情報と共に、インターフェイス制御部１０に送信される。インターフェイス制御部１０は、クライアント端末３０から送信される位置情報等を分析し、クライアント端末３０にユーザの操作に対応したログイン画面３５を表示させるよう、ログイン画面３５を構成するビットマップデータの全部又は一部を更新する。

インターフェイス制御部１０は、解析した契約番号やログインパスワード等のログイン情報を、アプリケーション制御部２０に送信する。アプリケーション制御部２０が受信したログイン情報を正常と判断すると、インターネットバンキングシステム１００は、インターフェイス制御部１０とアプリケーション制御部２０との間の第１セッション７１を確立するとともに、インターフェイス制御部１０とクライアント端末３０間の第２セッション７２も確立し、それぞれのセッションを関連付けて記録し、管理する。セッションの確立や管理等に関しては、後述する。

ユーザのログインが成功し、各セッションが確立されてから以降も、インターフェイス制御部１０はクライアント端末３０に対して、次画面に遷移するためのリンク先のＵＲＬなどの特定情報を含まないＨＴＭＬファイルや、ＩＣＡファイル等の画面制御情報を送信する。図１を再び参照すると、インターフェイス制御部１０からクライアント端末３０へは、特定文字列を含まないＨＴＭＬファイル６０が送信されていることがわかる。

次に、以上のように構成されたインターフェイス制御部１０及びアプリケーション制御部２０の動作を、図３のシーケンス図を参照して説明する。

インターフェイス制御部１０は、クライアント端末３０から、ログイン画面表示要求を受信する（Ｓ１０１）。インターフェイス制御部１０は、ログイン画面を構成するＨＴＭＬファイルをクライアント端末３０に送信する（Ｓ１０２）。ＨＴＭＬファイルは、上述のように、全体又は一部がビットマップ等の画像データで構成されており、資金移動に関するリンク先のＵＲＬ等の特定情報は含まれない。

特定情報を含まないＨＴＭＬファイルを受信したクライアント端末３０は、画面上にログイン画面を表示し、ユーザによってなされたキー入力やマウスクリック等の操作を受け付ける。インターフェイス制御部１０は、クライアント端末３０からマウスクリック等の操作情報を受信し、操作状況に応じた適切な画面を表示させるよう、特定情報を含まないＨＴＭＬファイルや、ＩＣＡファイル等の画面制御情報を、クライアント端末３０に適宜送受信する（Ｓ１０３）。

インターフェイス制御部１０は、クライアント端末３０から受信する上記の操作情報を分析し、ログイン要求がなされたことを判断する（Ｓ１０４）。ログイン要求されたと判断した場合には、アプリケーション制御部２０に対してログイン情報を送信する（Ｓ１０５）。ここで、インターフェイス制御部１０とアプリケーション制御部２０間の情報の送受信は、上述の特定情報が含まれていてもよく、特に制限はない。

アプリケーション制御部２０は、ログイン認証の可否を判断する（Ｓ１０６）。ログインを許可する場合には、インターフェイス制御部１０に対して取引画面等の表示を指示する（Ｓ１０７）。インターフェイス制御部１０は、取引画面等を構成する特定情報を含まないＨＴＭＬファイルを、クライアント端末３０に送信する（Ｓ１０８）。

ログインを許可する場合に、インターフェイス制御部１０とアプリケーション制御部２０との間の第１セッション７１と、インターフェイス制御部１０とクライアント端末３０との間の第２セッション７２が確立される。これ以降も、インターフェイス制御部１０とクライアント端末３０との間では、特定情報を含まないＨＴＭＬファイルや、ＩＣＡファイル等の画面制御情報が送受信される。

以上説明した第１実施形態では、インターフェイス制御部１０とアプリケーション制御部２０は、それぞれ単独又は複数のサーバによって構成したが、インターフェイス制御部１０とアプリケーション制御部２０を、論理パーティションで分離すること等により一つのサーバで実現してもよい。

［変形例］
以上のように、第１実施形態は本発明をインターネットバンキングシステムに適用したものであるが、本発明の実施形態はこれに限られない。例えば、インターネットショッピングシステムにも適用することが可能である。この場合、特定情報には、クレジットカード情報を入力させるリンク先ページのＵＲＬ等の情報が含まれることになる。他にも、商品やサービス購入時に付与されるポイントや、オンラインゲームで使用されるポイントなどの、各種ポイントを使用するシステムにおいても、本発明を実施することが可能である。

［第２実施形態］
図４は、本発明の一実施形態に係る、不正アクセス遮断用中継装置の概要図であり、第２実施形態を説明するものである。第２実施形態は、上述したインターネットバンキングシステムに好適であるが、これに限られるものではない。

図４を参照すると、本発明の一実施形態に係る不正アクセス遮断用中継装置３００は、第１受信部３８１、第１送信部３８２、第２受信部３８３、第２送信部３８４、セッション情報管理部３８５、保持部３８６、除去部３８７、抽出部３８８を有する。

不正アクセス遮断用中継装置３００は、単独の電子計算機で実現してもよいし、複数のサーバで実現してもよい。したがって、不正アクセス遮断用中継装置３００を構成する３８１から３８８の各部は、ＣＰＵ、主記憶装置、ネットワークカード等の電子計算機が通常有する機能によって構成されてもよいし、単独又は複数のサーバによって実現されてもよい。また、不正アクセス遮断用中継装置３００は、情報処理装置３１０と共に単独又は複数のサーバによって構成されるが、情報処理装置３１０と物理的に分離した別の装置として構成されてもよい。

図５は、不正アクセス遮断用中継装置３００と、情報処理装置３１０、サービス提供装置３２０及び端末３３０との関係を示した概略図である。情報処理装置３１０、サービス提供装置３２０及び端末３３０は、それぞれ第１実施形態におけるインターフェイス制御部１０、アプリケーション制御部２０、クライアント端末３０に対応するが、これに限られない。

情報処理装置３１０とサービス提供装置３２０との間で確立された第１セッションに関する情報を、第１セッション情報３９１とする。端末３３０は、記憶部３３１及び演算処理部３３２の何れか一つ又は双方を含み、マルウェアに感染した可能性があるものとする。端末３３０と情報処理装置３１０との間で確立された第２セッションに関する情報を、第２セッション情報３９２とする。

不正アクセス遮断用中継装置３００は、第１セッション情報３９１と第２セッション情報３９２を管理する。さらに、サービス提供装置３２０と、端末３３０との間で送受信される取引要求電文等の管理も行う。詳細は、後述する。

以下、図６を参照しつつ、不正アクセス遮断用中継装置３００の内部処理を説明する。

セッション管理情報部３８５は、第１セッション情報３９１と第２セッション情報３９２とを、テーブル管理等で１対１に関連付けて記録し、管理する。多数の端末３３０がそれぞれセッションを確立することも可能である。各セッションは、第１実施形態のようなインターネットバンキングシステムにおいては、それぞれの取引に対応する。

第１受信部３８１は、第１セッション情報３９１に基づいて、サービス提供装置３２０より取引電文３９３を受信する。取引電文３９３は、インターネットバンキングシステムにおける振込、振替、送金や、クレジットカード決済などに関するものを含む。第１受信部３８１によって受信された取引電文３９３は、保持部３８６によって保持される。

除去部３８７は、取引電文３９３から画面遷移情報３９４を除去する。画面遷移情報３９４は、インターネットバンキングシステムにおける振込、振替、送金等の資金移動に関する画面の遷移情報や、クレジットカード決済に関する画面の遷移情報などが含まれる。第２送信部３８４は、第２セッション情報３９２に基づいて、画面遷移情報３９４が除去された取引電文３９５を、端末３３０に対して送信する。なお、第１実施形態においてインターフェイス部１０が特定情報を含まないＨＴＭＬファイル等をクライアント端末３０に送信することは、第２実施形態において第２送信部３８４が画面遷移情報３９４が除去された取引電文３９５を端末３３０に対して送信することに対応する。

一方、第２受信部３８３は、第２セッション情報に基づいて、端末３０から取引要求電文３８３を受信する。取引要求電文３８３は、インターネットバンキングシステムにおける振込、振替、送金等の取引要求電文や、クレジットカード決済に関する取引要求電文などが含まれる。抽出部３８８は、第２受信部３８３によって受信した取引要求電文３９６から、端末３３０において入力された入力情報３９７を抽出する。第１送信部３８２は、抽出した入力情報３９７を、保持部３８６によって保持された取引電文３９３に付加し、サービス提供装置３２０に対して送信する。

端末３３０がマルウェアに感染した場合、Ｃ＆Ｃ端末に情報を送信し、Ｃ＆Ｃ端末からインターネットバンキングシステム等に対して中間者攻撃を仕掛けることがある。そのような中間者攻撃によって、第１セッションを保ったまま、第２セッションが不正に切断されることがある。この場合、セッション情報管理３８５は、第１セッション情報３９１と第２セッション情報３９２を１対１に関連付けて記録しているので、第１セッション情報３９１が不正に無効化されたことを検知することが可能である。さらに、セッション情報管理部３８５は、不正に切断され無効化された第２セッション情報３９２と関連付けられた第１セッション情報３９１を、無効化する。これによって、不正アクセス遮断用中継装置は、不正アクセスを遮断することを実現することができる。

また、セッション管理情報部３８５は、第２受信部３８３が取引要求電文３９６を受信してから所定の時刻が経過した場合に、第２セッション情報３９２を無効化するとともに、当該第２セッション情報３９２に関連付けられる第１セッション情報３９１を無効化することもできる。これによって、端末３３０において一定時間無操作状態が継続した場合にタイムアウトと判断して第１セッションを切断するとともに、関連付けられる第２セッションも切断し、端末３３０のセッション情報がサービス提供装置３２０に残存しないようにすることができる。

以上のように、第２実施形態においては、第１セッション情報３９１及び第２セッション情報３９２を記憶・管理することによって、不正なアクセスを検知して遮断することが可能となり、セキュアなシステムを構築することが可能となる。

なお、不正アクセス遮断用中継装置は、第１実施形態におけるインターフェイス制御部１０又はアプリケーション制御部２０のいずれかに備えてもよいし、インターフェイス制御部１０及びアプリケーション制御部２０とは別に備えてもよい。

［変形例］
また、第１実施形態の変形例で述べたように、第２実施形態も、インターネットショッピングシステムや、各種ポイントを使用するシステム等で実施することが可能である。

１０…インターフェイス制御部、２０…アプリケーション制御部、３０…クライアント端末、３１…ディスプレイ、３２…インターフェイス画面、３３…ログイン画面表示ボタン、３４…ログイン画面表示アイコン、３５…ログイン画面、４０…通信ネットワーク、６０…特定文字列を含まないＨＴＭＬファイル、７１…第１セッション、７２…第２セッション、１００…インターネットバンキングシステム、２００…従来のインターネットバンキングシステム、２６０…ＨＴＭＬファイル、３００…不正アクセス遮断用中継装置、３３０…端末、３３１…記憶部、３３２…演算処理部、３１０…情報処理装置、３２０…サービス提供装置、３８１…第１受信部、３８２…第１送信部、３８３…第２受信部、３８４…第２送信部、３８５…セッション情報管理部、３８６…保持部、３８７…除去部、３８８…抽出部、３９１…第１セッション情報、３９２…第２セッション情報、３９３…取引電文、３９４…画面遷移情報、３９５…画面遷移情報が除去された取引電文、３９６…取引要求電文、３９７…入力情報

Claims (2)

1. クライアント端末と通信ネットワークで接続され、該クライアント端末に予め定めたリンク先の情報を含まないＨＴＭＬファイルのウェブページを提供し、該クライアント端末から該ＨＴＭＬファイルのウェブページを受信するインターフェイス制御部を有するインターネットシステム。
2. クライアント端末と通信ネットワークで接続されるインターフェイス制御部を有するインターネットシステムが実行する方法であって、該クライアント端末に予め定めたリンク先の情報を含まないＨＴＭＬファイルのウェブページを提供し、該クライアント端末から該ＨＴＭＬファイルのウェブページを受信する方法。

Images