警察庁の発表(2014年9月)によると、2014年1月から6月期のインターネットバンキングサービスにおける不正送金被害額は「約18億5200万円」で、2013年全体の被害額(約14億円)を大きく上回りました。2013年同期比では約9倍となっています。

 この被害を生み出しているのが「オンライン銀行詐欺ツール」と呼ばれる、IDやパスワードなどインターネットバンキングサービスに関連した様々な個人情報を窃取する不正プログラムです。この不正プログラムは、他にも「バンキングマルウェア」、「バンキングトロジャン」など様々な呼び方が存在します。

 オンライン銀行詐欺ツールは、Webページ上の正規のデータ入力フォームからアカウントやパスワードなどの入力情報を窃取する「フォームグラビング」や、偽の入力項目やWebページを表示し、第二暗証番号や乱数表などの二要素認証に使用する追加の認証情報を窃取する「Webインジェクション」と呼ばれる手法を用いて、個人情報の窃取を行います。

 インターネットバンキングサービスに関連した個人情報の窃取を狙った手法には、他にも「フィッシング詐欺」があります。しかし、オンライン銀行詐欺ツールに感染した場合は、フィッシング詐欺とは異なり、ブラウザーのアドレスバーに正規のインターネットバンキングサービスのURLが表示されているため、ユーザーが異変に気づくのはより困難であるといえます。

日本を狙う主なオンライン銀行詐欺ツールは3種類

 日本のインターネットバンキングサービスを狙う主なオンライン銀行詐欺ツールには、「ZBOT(ゼットボット)」「VAWTRAK(ボートラック)」「AIBATOOK(アイバトゥック)」などが存在します。ZBOTとVAWTRAKは当初、海外のインターネットバンキングサービスを狙っていました。日本のインターネットバンキングサービスを本格的に狙い始めたのは、ZBOTが2012年末から、VAWTRAKは2014年に入ってからです。

 一方、AIBATOOKは2014年1月に国内で検出が報告されました。こちらは初期から日本のインターネットバンキングサービスを狙っており、また、他のオンライン銀行詐欺ツールとは異なる手法を用いて「Webインジェクション」(後述)を行うなど、特徴的な点が多いオンライン銀行詐欺ツールです。今回はこのAIBATOOKを取り上げて解説します。