重要なポイント

  • BIN攻撃を理解する：BIN攻撃とは、一般に公開されているペイメントカードの銀行識別番号（BIN）を悪用することで、有効なカード情報を強引に入手して不正な取引を可能にするものです。早期に発見するには、認証失敗のパターンを特定することが不可欠です。
  • 効果的な軽減戦略：レート制限、認証強化（CAPTCHA、MFAなど）、Webアプリケーションファイアウォール（WAF）、ジオフェンシング、機械学習ベースの不正検知ツールを導入することで、BIN攻撃が成功する可能性を大幅に低減できます。
  • コラボレーティブなインシデント対応：決済処理業者、カード発行会社、およびデジタルフォレンジックチームと協力することで、攻撃を追跡し、ハッキングされたカードを凍結し、トークン化やPCI DSS準拠などの長期的な対策を実施します。これにより、ペイメントセキュリティを強化できます。

金銭的な動機を持つ攻撃者は、金融サービスや電子商取引を標的とする場合に、BIN攻撃を活用することがよくあります。BIN攻撃では、銀行識別番号（BIN）に由来するカード番号を体系的にテストすることで、有効なカードに関する情報を見つけます。BIN値はカード発行会社に割り当てられており、ペイメントカードの最初の6～8桁を形成します。

これらの値は、取引を容易にするために加盟店、決済処理業者、およびその他のサービスプロバイダーに対して発行されており、一般に利用可能です。このBINの後に追加の数字（口座番号）が続くことで、完全なPAN（Primary Account Number）、つまりカード番号が形成されます。

攻撃者は多くの場合、クレジットカードやデビットカードの最初の6～8桁の既知の数字（BIN）を悪用し、有効なカード番号を見つけることを期待して、残りの口座番号を体系的に生成します。このような攻撃は、不正取引のために有効なカード情報を特定することを目的としており、金銭的な動機を持つ組織化されたサイバー犯罪グループにより行われます。生成される値には、CVV、有効期限、郵便番号などが含まれます。この攻撃は、列挙型ブルートフォース攻撃の一種と考えられています。

BIN攻撃を特定し、その影響を効果的に軽減するためには、進行中のBIN攻撃の要素を特定できるようにすることが不可欠です。多くの場合、攻撃者は大量のカード番号をテストするため、認証に失敗するパターンが発生します。トランザクションログを監視し、ペイメントプロセッサーと連携することで、BINが標的にされているかどうかを特定できます。これを行うには、ログ集計と監視の設定を行うことにより、トランザクションログを取り込み、異常な量の認証失敗が発生した場合にフラグを立てることができるようにする必要があります。

BIN攻撃から身を守るための最もシンプルで効果的な戦略の1つとして、レート制限の導入が挙げられます。この手法は、単一のIPアドレスまたは単一デバイスが特定の時間枠内で行えるリクエスト数を制限するものであり、これにより、複数のカード番号を続けざまにテストするように設計された自動化システムを大幅に妨害できます。このようなリクエストの速度と頻度を制限することで、列挙型のブルートフォース攻撃の有効性を低減できます。この基本的な防御策は、実装が容易であるだけでなく、より広範なセキュリティ戦略における重要なレイヤーとしても機能します。

認証手段を強化することで、ボットではなく人間によってやり取りが開始されたことを確認し、BIN攻撃に対する防御をさらに強化できます。CAPTCHAと多要素認証（MFA）は、自動化スクリプトによるオンライン決済システムの脆弱性の悪用を防ぐために不可欠なツールです。リスクの高い取引の場合、3Dセキュアプロトコル（Verified by Visa や Mastercard SecureCodeなど）のような、より厳格な検証プロセスを実施する必要があります。

これらの対策は、自動化された攻撃を抑止するだけでなく、支払いフォームとプロセスの安全性を保証することで、顧客に信頼感を与えます。これらの認証レイヤーを組み合わせることで、BIN関連の脆弱性を悪用しようとする攻撃者に対して大きな障壁を形成できます。

不審なトラフィックをブロックすることも、効果的なセキュリティ戦略における重要な要素です。Webアプリケーションファイアウォール（WAF）を使うと、悪意あるトラフィックを特定してブロックできます。これには、失敗する支払いの試みを繰り返すトラフィックや、既知の悪意あるIPアドレスから発信されたアクティビティなどが含まれます。ジオフェンシングとは、限定的な追加保護レイヤーを提供するものであり、これを利用することで、詐欺行為の多い地域や企業の顧客基盤外の国からのトラフィックを制限するかまたは完全に拒否できます。

ただし、最新のVPNソリューションを使うことで攻撃者は地理的な制限を回避できるため、ジオフェンシングだけでは十分ではありません。WAF、ジオフェンシング、およびその他のトラフィック分析ツールを組み合わせた総合的なアプローチにより、ブルートフォース攻撃やスクリプト攻撃に関するリスクを大幅に低減できます。

機械学習とデバイスフィンガープリントを利用した高度な不正検知ツールは、通常とは異なる取引パターンを特定するために不可欠です。このようなツールは、フラグが立てられたアクティビティをリアルタイムで分析し、それらのアクティビティをハッキングされたカードのグローバルデータベースと照合することで、不正取引を未然に防ぎます。異常検知とリアルタイムのトランザクションスコアリングおよびデバイスフィンガープリントを組み合わせることで、企業や組織が持つべき「潜在的な脅威にプロアクティブに対応する能力」を強化できます。

これらのツールを導入することで、疑わしい活動を特定するだけでなく、それ以上の悪用を防ぐために即座に対応策を講じることができます。このようなプロアクティブなアプローチを通じて、重大な被害が発生する前に脅威を確実に検知し、その影響を軽減できます。

BIN攻撃の際には、複数の利害関係者との効果的なコミュニケーションとコラボレーションが不可欠です。標的とされたBINに関連付けられているカード発行会社へのプロアクティブな通知を実施すべきです。これにより、カード発行会社は、ハッキングされたカードを凍結し、関連する不正行為を監視できるようになるからです。さらに、顧客や影響を受ける関係者に情報を提供し続けることで、信頼を築き、影響を受ける関係者が自らの身を守る方法を理解できるようになります。

また、不正な取引がないかどうかを調べるために顧客の口座を監視するというガイダンスを顧客に提供することで対応がさらに強化されます。透明性とタイムリーなコミュニケーションは、攻撃の直接的な影響を軽減するだけでなく、顧客の利益を守るためのコミットメントを示すことにもなります。

システムセキュリティの強化は、BIN攻撃に対する強固な防御の基礎を形成します。決済処理システムを定期的に見直してアップデートすることで、攻撃者が悪用する可能性のある脆弱性を排除できます。古くなったソフトウェア、設定ミス、その他の脆弱に対処することで、回復力のあるインフラを確保できます。

また、潜在的なセキュリティギャップを埋めるために、すべてのシステムにパッチが適用されておりかつアップデートされていることを確認する必要があります。セキュアで最新の環境を維持することで、攻撃が成功する可能性を低減し、進化し続ける脅威に対してより強固な防御を構築できるようになります。

BIN攻撃がより広範な詐欺行為を示唆している場合には、デジタルフォレンジックとインシデント対応チームの関与が不可欠となります。これらの分野の専門家は、ログを分析し、攻撃者の手口を追跡するほか、再発防止策を提案することができます。また、攻撃がもたらすより大きな影響に対処するために、法執行機関や決済ネットワークとの連携が必要になる場合もあります。効果的なインシデント対応を調整することで、現在の脅威を軽減するだけでなく、長期的なレジリエンスを強化するための対策を実装できるようになります。

BIN攻撃を防ぎ、全体的なセキュリティを強化する上では、長期的な対策を実装することも同様に重要となります。たとえばトークン化において、機密性の高いカード情報をBINデータと同じように悪用できない一意のトークンに置き換えることで、攻撃者の成功率を最小限に抑えることができます。また、PCI DSS（Payment Card Industry Data Security Standards）への準拠は、決済処理セキュリティを実現するためのベストプラクティスの遵守を保証します。

さらに、振る舞い分析ツールを使うと、カード番号入力の繰り返しのような不審なユーザの振る舞いを特定できるほか、BIN範囲の監視を行うことで、特定のBIN範囲に関連する異常なアクティビティ（試行のパターンや連続番号の試行など）に対してアラートを発行できます。これらの手段を組み合わせることで、検知と予防のためのフレームワークを構築できるようになります。

主な推奨事項

BIN攻撃のようなタイプの脅威から身を守るために実施すべき推奨事項としては、次のものが挙げられます。

  • プロアクティブな監視の実施：ログ集計および監視システムを設定し、認証失敗の異常な量や、特定のBIN範囲に関連するパターンを検知すること。これにより、進行中のBIN攻撃を早期に特定できるようになります。
  • セキュリティ対策の強化：決済ポータルにレート制限を適用すること。また、CAPTCHAと多要素認証（MFA）を実施し、Webアプリケーションファイアウォール（WAF）を使用すること。さらに、機械学習とリアルタイムスコアリングを備えた不正検知ツールを利用することで、自動化された攻撃をブロックし、その影響を軽減できます。
  • ペイメントエコシステムとのコラボレーションを強化：決済処理業者やカード発行会社との緊密なコラボレーションを通じて、攻撃に関する詳細情報を共有できるほか、ハッキングされたカードを凍結し、対応までの時間を短縮できます。さらに、PCI DSSへの準拠を維持し、トークン化を実施することで、データ漏洩のリスクを最小限に抑えることができます。

急増するモバイル端末への脅威から守るモバイルセキュリティ対策とは 〜最新の脅威情報とCybereason MTDの特長をご紹介〜

スマートフォンは、常にインターネットに接続されており、マルウェアやフィッシングメールなどの攻撃によって情報漏洩や不正アクセスを受けるなど、スマートフォンに対するサイバー攻撃が増加している傾向にあります。

モバイルの脅威情報やモバイルセキュリティ製品の有効性についてご紹介いただきます。さらにサイバーリーズンのモバイルセキュリティ製品「Cybereason MTD」の特長をご紹介します。
https://www.cybereason.co.jp/product-documents/white-paper/12252/