セキュリティ専門のパスロジ社、 「マン・イン・ザ・ブラウザ」対策特許発明を無償開放　

　セキュリティソフト開発・販売のパスロジ株式会社(東証TOKYO PRO Market上場：証券コード4426、本社：東京都千代田区、代表取締役社長：小川 秀治、以下 パスロジ)は、インターネットバンキング利用者が、本人にしかわからない送金情報の穴埋めクイズに答えることで不正送金を防止する「クイズ型取引防護システム」の特許発明の実施を無償で許諾することを決定しました。許諾の対象となるのは、当該特許発明の実施を希望する全ての金融機関やそのパートナー企業となります。パスロジ社はまた、当該特許発明の実施に向けたシステム開発のための技術サポートも無償で実施します。「クイズ型取引防護システム」を導入することにより、金融機関の送金プロセスにおけるセキュリティをさらに向上させることができます。

　2020年中のインターネットバンキングにおける不正送金(※1)の被害額は、約11億3,300万円(※2)となっていて、利用者と金融機関を脅かす大きな問題となっています。不正送金の代表格である、振込内容を改ざんする「マン・イン・ザ・ブラウザ」への対策として、ほとんどの金融機関はマルウェアの検出ソフトのインストールを利用者に推奨しています。さらには、「取引認証付きワンタイムパスワード方式」を採用しています。しかし、これらの手法は、いずれも、利用者のセキュリティ意識が高い場合には有効に機能しますが、利用者の注意が不十分である場合には、不正送金を許してしまう可能性があります。
　「クイズ型取引防護システム」は、利用者のセキュリティ意識に依存せず、効果的に不正送金を防止できる仕組みです。当該システムを用いた送金プロセスでは、本人にしかわからない振込内容の設問に回答しなければ、送金が実行できません。万が一、犯罪者が振込内容を改ざんして金融機関のサーバーに通信しようとすると「答えがない」という状態となり、改ざんの事実を発見することができます。

　当特許発明の実施につきまして、ご興味のある金融機関・企業の方は下記のお問合せフォームより、お気軽にご連絡ください。

●パスロジ「認証セキュリティに関するご相談・取材のお申込み」フォーム
https://www.passlogy.com/form/consultation

※1：不正送金の手口については、後述の「参考：不正送金の手口について」をご参照ください。
※2：2021年3月4日発表の警察庁広報資料「令和2年におけるサイバー空間をめぐる脅威の情勢等について」より

クイズ型取引防護システム使用手順

スマホを使う女性画像

　利用者がパソコンのブラウザなどで振込操作を指示すると、クイズ型取引防護システムから、振込先の口座番号や金額などの取引情報を一部欠損させた穴埋めクイズと、その欠損部分を補う回答の選択肢を、電子メールまたはアプリで受信します。利用者は、正しい回答の選択肢に割り当てられた確認番号(例えば、現行のワンタイムパスワードに相当する桁数の数字)をインターネットバンキングの画面で入力することで、送金操作を完了します。
　もし受信した穴埋めクイズの解答の選択肢が、利用者が指示した取引と合致しない取引情報であれば、取引情報が偽装されている可能性があると判断できます。

クイズ型取引防護システム概要

　当システムは、ユーザビリティ・コストパフォーマンス・防護確実性を備えた、利用者にも金融機関にもメリットとなる下記のような特長があります。

1：簡単な穴埋めクイズに回答して、ワンタイムパスワードを選択するだけなので、手順を増やすことなくセキュリティを上げられる
2：2経路認証(※3)とクイズに正答するための取引内容の精査により、不正送金をより確実に阻止

1：電子メールおよびアプリに適用可能であるため、全てのインターネットバンキング利用者に提供可能
2：当システム導入における既存システムの改修は、ワンタイムパスワードの提示画面におけるクイズ提示のみ（システムの動作自体の変更はなし)であり、速やかな導入が可能
3：導入期間においては、既存システムとの併用が可能

※3：取引に使用している端末だけでなく、別の端末(経路)でも認証を行う認証方式

■参考：不正送金の手口について
　不正送金の手口として下記のような事例が確認されております。当社の「クイズ型取引防護システム」では、いずれの手口も防止可能です。

・MITB(マン・イン・ザ・ブラウザ)攻撃
　パソコンにマルウェアを侵入させ、利用者が送金操作を行う際に、その送信内容を改ざんし、利用者が意図した口座とは別の口座への送金を行う。
・MITM(マン・イン・ザ・ミドル)攻撃
　利用者と銀行の間の通信に介入し、通信中のデータの改ざんし、利用者が意図した口座とは別の口座への送金を行う。
・ウェブインジェクション攻撃
　送金手続き中に、ブラウザ上に表示された文言や画像の改ざん・追加や、ポップアップなどで、利用者の操作を誘導し、ログイン情報や取引情報を詐取する。

　当特許発明の実施につきまして、ご興味のある金融機関・企業の方は下記のお問合せフォームより、お気軽にご連絡ください。

●パスロジ「認証セキュリティに関するご相談・取材のお申込み」フォーム
https://www.passlogy.com/form/consultation

　パスロジ株式会社は2000年の設立より、IT社会において日常的に行われる「ログイン」、「サインイン」といった作業「本人認証」について研究開発を行っているベンチャー企業です。日本において33件、世界各国では合計101件の特許を取得しております。(2021年2月末時点)
　主力製品の「PassLogic(パスロジック)」は、主にリモートワークに利用される認証セキュリティシステムです。その「専用のデバイスを使わないワンタイムパスワード」という独特な機能は、安全性と可用性に優れ、導入・運用コストを抑える特徴を持ち、政府機関や、規模を問わず多くの企業に採用されています。新型コロナウイルス感染症対策によるテレワーク導入拡大にも迅速に対応し、2020年9月にはユーザー数129万件を突破いたしました。

●パスロジ会社案内ページ： https://www.passlogy.com/corporate/

社名　　　　　： パスロジ株式会社(Passlogy Co., Ltd.)
代表取締役社長： 小川 秀治
設立　　　　　： 2000年2月24日
資本金　　　　： 1億円
上場区分　　　： 東京証券取引所 TOKYO PRO Market(証券コード4426)
所在地　　　　： 東京都千代田区神田小川町3-26-8 神田小川町三丁目ビル
業務内容　　　： セキュリティソフトウェア開発販売
認証　　　　　： ISMS/ISO27001
Webサイト　　 ： https://www.passlogy.com/
主要製品　　　： PassLogic、PassClip、X3Secure for RDP

※このリリースに記載の内容は、発表当時の情報です。予告なく変更されることがありますので、あらかじめご了承ください。
※記載されている商品名、会社名は、各社の商標または登録商標です。