Webスキミングとは、Webフォームを改ざんして入力情報を盗み出す手口です
一見普通の決済ページに見えますが、悪意のあるコードが潜んでいます
決済が処理される間にカード情報が盗まれるリスクがあります
安全なブラウジング習慣と、端末のセキュリティ対策で被害を軽減できます
Webスキミングとは、犯罪者がWebサイトのオンラインフォーム・ページ内に悪意のあるコードを埋め込んで、ユーザーが入力した情報を盗み出すサイバー攻撃です。最も標的とされるのは決済ページですが、攻撃者はログイン、アカウント登録、予約、お問い合わせページなどのオンラインフォームも侵害する場合があります。侵害されたWebサイトやフォームは通常通り動作し続けるため、攻撃に気づかない可能性があります。
入力した情報は、侵害された正規サイトと、サイバー攻撃者が制御するサーバーの両方に送信されます。つまり、個人情報が盗まれたにもかかわらず、注文やアカウント登録のリクエストは正常に処理されてしまう可能性があります。Webスキミングは、Webサイト自体、またはWebサイトが利用しているサードパーティ製のスクリプトのセキュリティの脆弱性を悪用します。Macへのmalware感染が原因というわけではないので、セキュリティソフトウェアをインストールしていても、Webスキミングで侵害されたフォーム・ページを確実に検出できるとは限りません。
攻撃者はWebサイト全体を改ざんするのではなく、攻撃対象のページ・フォームのみを改ざんします。そのため、サイトは見た目も動作もいつも通りですが、侵害されたページで入力情報を送信した瞬間に、不正なコードが情報をコピーします。
01
攻撃者は、Webサイトの脆弱性を悪用したり、管理者の認証情報の窃取、サイトが利用しているサードパーティ製サービスの侵害、あるいは古くなったプラグインやセキュリティが手薄なアカウントを悪用して攻撃を仕掛けます。
02
攻撃者は、決済ページ・フォームなど、入力情報を窃取したいページに、小さなJavaScriptコードを挿入します。このコードは、顧客のブラウザ上で実行される設計になっています。
03
顧客が正規サイトを訪問して、いつも通り情報を入力します。多くの場合、入力ページが侵害されていても、目に見える兆候はありません。
04
ページの送信ボタンをクリックすると、情報が正規サイトへ送信されると同時に、隠されたスクリプトが情報をコピーして攻撃者にも送信します。
05
正規サイトは、侵害されていても入力情報をいつも通り受信できるため、決済またはその他のリクエストは正常に処理されます。異常が検知されないまま攻撃が継続されます。
Webスキミングは、「デジタルスキミング」や「e-スキミング」とも呼ばれるMagecart（メイジカート）攻撃と同種の攻撃です。これらの攻撃では、正規サイトの決済ページなどに不正なJavaScriptを挿入して、顧客に気づかれることなく決済情報を盗み出す仕組みとなっています。
攻撃者は、ブリティッシュ・エアウェイズの公式サイトおよびアプリのスクリプトを改ざんし、予約ページで顧客の個人情報や決済情報をコピーしました。この悪意のあるコードは8月21日から9月5日まで稼働しており、ブリティッシュ・エアウェイズは約38万枚の顧客カード情報が被害を受けたことを報告しています。
イギリスのチケットマスター（Ticketmaster）は、サードパーティ企業「Inbenta」のカスタマーサポート用チャットボット内に悪意のあるコードが埋め込まれていることを発見しました。このチャットボットは決済プロセス中に使用されており、顧客が入力した個人情報や決済情報が盗み出されていました。この事例は、犯罪者がサイト自体をハッキングするのではなく、提携企業のサードパーティ製サービス・ツールを侵害して、データを窃取した攻撃の一例です。
研究者らは、通販サイトである「Newegg」の決済ページに、顧客が購入手続きを完了すると決済情報をコピーする悪意のあるコードが仕込まれていることを発見しました。盗まれた情報は、Neweggの公式サイトに酷似した攻撃者のドメインに送信されていたため、攻撃の発見まで時間が掛かりました。また、決済処理は通常通り行われていたため、ユーザーがその場で被害に気づくことは極めて困難でした。
Webスキミングは、情報を入力した顧客と、侵害されたサイトの運営企業に被害を及ぼすサイバー攻撃です。
攻撃者は、クレジットカード番号、有効期限、セキュリティコードを盗み出して、不正購入を行ったり、他の犯罪者に販売することがあります。
犯罪者は、盗んだ氏名、住所、電話番号、メールアドレス、その他の個人情報を悪用して、被害者になりすましたり、更なる詐欺の標的にしたり、被害者名義で口座を開設する可能性があります。
攻撃者は、メール、ショッピング、銀行、その他のアカウントのユーザー名とパスワードを盗取して、不正アクセスすることもあります。また、被害者が同一のパスワードを他のアカウントでも使い回していた場合、複数のアカウントが侵害される恐れがあります。
被害を受けた企業は、情報漏洩に関する調査、規制当局による罰則、支払いに関する紛争、復旧費用、および顧客の信頼喪失に直面する恐れがあります。
侵害されたフォーム・ページに情報を入力したユーザー全員が被害を受けるリスクがありますが、その中でも特定の個人や企業は、他者より大きな被害を被る可能性があります。
侵害された決済ページで支払い情報を入力したユーザー全員に被害が及びます。特に、ネットショッピングのヘビーユーザーは、個人情報が漏洩する事態に遭遇する確率が高まるので気を付けましょう。
旅行予約サイトでは、航空券、ホテル、ツアーを予約するのに支払い情報、住所、連絡先、旅行の詳細など、貴重な情報が必要となるため、入力ページが攻撃の標的になりやすいです。
小規模なネット小売業者は、プラグイン、サイトテーマ、外部サービスに依存する傾向がありますが、全スクリプトを監視したり、改ざんを迅速に調査できるセキュリティ専任スタッフが在籍していないことも少なくありません。
人気の通販サイトでは、日々膨大な数の決済が処理されます。決済ページに悪意のあるコードが侵入すると、侵害が検知されるまでの間に、犯罪者は大量の顧客からデータを盗み出すことが可能になります。
Webサイトで実行されているすべてのスクリプトを確認することは不可能ですが、いくつかの簡単な予防措置を講じることで、リスクを簡単に低減できます。
ウイルス対策ソフトは、Webスキミングで侵害されたサイト内の悪質なコードを確実に検出することはできません。というのも、ユーザーのMac端末上でコードが直接実行されているわけではないからです。しかし、フィッシングメールや二次的な攻撃で配信される悪意のあるダウンロードやマルウェア感染を防止することはできます（これは補助的な防御策であり、Webスキミングを直接防止するものではありません）。
Intego ONE Antivirusは、Macでファイルの開封や追加時にスキャンを実行するウイルス対策機能です。既知のマルウェア感染を未然に防ぐことができます。
偽の請求書、配送通知、アカウント警告、または二次的詐欺で配信される添付ファイル、インストーラー、その他のダウンロードプログラムをスキャンします。
クイックスキャン、フルスキャン、カスタムスキャン、またはスケジュールスキャンを実行して、既知のマルウェアが潜むダウンロードプログラムがないかMacを検査できます。
既知のマルウェアが検出されると、Integoが該当ファイルを隔離して、ユーザーが内容を確認する前に、ファイルが開かれたり、変更が加えられるのを防ぎます。
25年以上に渡って革新を続けるIntegoは、データ、プライバシー、デバイスといった最も重要な資産を守るために構築された高度なサイバーセキュリティソリューションを提供してきました。
受賞歴のあるウイルス対策、ファイアウォール、VPN、システム最適化ツールを搭載し、MacおよびPCユーザーが求めるシンプルさと信頼性を備えた強力な保護を実現します。
