米Finjanは米国時間7月31日，新しいクライムウエア（犯罪目的で使用されるソフトウエア）について2007年7月に実施した調査の結果を発表した。それによると，攻撃ツールキット「MPack」を使って58人の犯罪者が約310万台のパソコンに攻撃を仕掛け，50万人を超えるユニーク・ユーザーのパソコンをクライムウエアに感染させたという。感染成功率は16％となる。

　MPackで仕掛けられたクライムウエアは，銀行口座のユーザー名，パスワード，クレジット・カード番号，社会保障番号などを様々な方法で盗み取っている。この攻撃は，偽のWebサイトを使った従来のフィッシング攻撃と異なり，ユーザーのパソコン上で仕掛けられる。例えば，ユーザーがオンライン・バンキング・サイトのログイン・フォームに入力してログイン・ボタンを押すと，感染マシン上のクライムウエアがこの通信を妨害し，情報を銀行ではなく攻撃者のサーバーに送信する。これらのクライムウエアは，いくつかの銀行のWebサイトを悪用して顧客の情報を盗んでおり，盗んだ情報は，検出を逃れるためにSSL接続を通じて犯罪者に送られている。

　感染マシンのユーザーは，通常のパソコンの使用やオンライン活動において変化に気づくことはない。また，セキュリティ製品の多くがまだMPackツールキットによってダウンロードされたクライムウエアを検出できないため，パソコンを感染させるために有効な手段になっているという。

　Finjanは，この攻撃の回避策として次のようなアドバイスを提供している

1．金融機関は，オンライン・バンキングの取引で社会保障番号，ATMの暗証番号などの入力を求めることはない。これらの情報が求められた場合には，Web以外の方法で銀行に確認する。

2．Webセキュリティ・ソリューションにリアルタイムの検査保護機能を加える。

3．セキュリティ対策製品をアップデートし，新しい技術に対応していることを確認する。

4．自分が使っているセキュリティ製品のベンダーが調査能力を持ち，すぐにセキュリティ対策として実行可能な最新情報を提供できるかをチェックする。

［発表資料へ］