MITB攻撃とは？SSLも多要素認証も突破する脅威の仕組みと対策
インターネットバンキングで正規のサイトにアクセスしているのに、知らぬ間に預金が不正送金される――。
そんな「見えない脅威」がMITB攻撃です。2024年のインターネットバンキング不正送金被害は約87億円と過去最悪レベルを記録し、企業の経理担当者や個人利用者を問わず深刻な被害が続いています。
本記事では、従来のセキュリティ対策では防ぎきれないMITB攻撃の本質的な仕組みから、実践的な対策まで、セキュリティの専門的視点を交えながら詳しく解説します。
MITB攻撃とは何か
MITB攻撃（Man in the Browser Attack）は、マルウェアに感染したPCのWebブラウザを介して、利用者とWebサーバー間の通信を盗聴・改ざんするサイバー攻撃です。攻撃者はブラウザ内部に入り込み、まるでブラウザの中に人がいるかのように振る舞うため、この名称で呼ばれています。
なぜMITB攻撃は見破れないのか
MITB攻撃の最大の特徴は、利用者が正規のWebサイトにアクセスしているという点にあります。フィッシング攻撃のように偽サイトへ誘導するのではなく、本物のサイトとの通信そのものを乗っ取ります。そのため、URLの確認やSSL証明書の検証といった従来の判別方法が通用しません。
利用者の画面には正常なサイトが表示され、アドレスバーには正しいURLと鍵マークが表示されます。しかし、その裏側ではマルウェアが通信内容を書き換え、送金先の口座番号や金額を攻撃者が指定したものにすり替えているのです。
実際に2014年には、ワンタイムパスワードを生成するハードウェアトークンを利用していた顧客でさえ被害に遭う事例が確認されました。これは、認証自体は正規に行われていても、認証後の操作が改ざんされてしまうことを意味します。
MITB攻撃の仕組み
MITB攻撃は段階的に実行されます。各プロセスを理解することで、攻撃の巧妙さと対策の難しさが見えてきます。
ステップ1：マルウェア感染
攻撃の起点は、利用者のPCへのマルウェア感染です。感染経路は主に以下のパターンがあります。
標的型メールによる感染が最も一般的です。業務メールを装った添付ファイルや、取引先を騙ったメールに含まれるリンクから、マルウェアがダウンロードされます。近年では、正規の企業メールを乗っ取って送信される「Emotet」のような高度な手口も確認されています。
Webサイト経由の感染も増加傾向にあります。脆弱性を抱えたWebサイトを閲覧しただけで感染する「ドライブバイダウンロード」や、改ざんされた正規サイトを経由した感染も報告されています。
ソフトウェアの脆弱性を悪用した感染では、OSやアプリケーションの更新を怠っているPCが狙われます。セキュリティパッチが未適用の環境では、攻撃者が容易に侵入できる状態となります。
ステップ2：ブラウザへの潜伏と監視
感染したマルウェアは、ブラウザのプロセスに注入され、ブラウザ拡張機能や動的ライブラリ（DLL）として動作します。これにより、ブラウザが実行するすべての通信を監視できる状態になります。
マルウェアは特定のWebサイト（主にオンラインバンキングや決済サイト）へのアクセスを検知すると活性化し、通信内容の傍受と改ざんを開始します。ここで重要なのは、通信の暗号化（SSL/TLS）がされた後のデータを扱えるという点です。暗号化はサーバーとブラウザ間で行われますが、マルウェアはブラウザ内部で動作するため、暗号化される前・復号化された後のデータにアクセスできてしまいます。
ステップ3：情報窃取と通信改ざん
利用者がオンラインバンキングにログインすると、マルウェアは以下の手法で攻撃を実行します。
キーボード入力の窃取では、キーロガー機能によりID、パスワード、暗証番号などの認証情報をすべて記録します。ソフトウェアキーボードを使用しても、画面キャプチャ機能により入力内容を特定されてしまいます。
画面表示の改ざんも巧妙です。利用者が入力した振込先口座番号を、攻撃者の口座番号にすり替えます。確認画面でも正しい情報が表示されるよう細工されているため、利用者は気づきません。実際には、サーバーへ送信されるデータは攻撃者の指定した内容に書き換えられています。
偽の認証画面の表示という手法もあります。正規のサイトには存在しない「追加認証」画面を表示し、第二暗証番号や乱数表のすべての数字を入力させる手口です。これにより、攻撃者は将来的な不正アクセスに必要な情報をまとめて入手できます。
ステップ4：不正送金の実行
収集した認証情報を使い、攻撃者はリアルタイムまたは後日、不正送金を実行します。利用者がログインしている最中に並行して送金処理が行われるケースでは、利用者の操作と攻撃者の操作が同時に進行するため、検知がさらに困難になります。
警察庁の統計によれば、2024年のインターネットバンキング不正送金被害は4,369件、被害総額は約86.9億円に達しています。これは2023年の過去最悪記録（5,578件、約87.3億円）とほぼ同水準であり、依然として深刻な状況が続いていることを示しています。
MITB攻撃に使われる主要なマルウェア
MITB攻撃を実行するマルウェアにはいくつかの代表的なものがあり、それぞれ特徴的な機能を持っています。
Ursnif（別名：Gozi）は、金融機関を標的としたバンキングマルウェアの代表格です。日本国内でも多数の被害が確認されており、継続的に亜種が作成されています。高度なキーロガー機能とスクリーンショット機能を備え、認証情報を効率的に窃取します。
Zeus（Zbot）は、2007年頃から存在する古典的なバンキングマルウェアですが、そのソースコードが流出したことで多数の亜種が誕生しました。MITB機能を実装した派生マルウェアは今でも脅威となっています。
URLZone（別名：Bebloh）は、日本で過去に大規模な被害をもたらしたマルウェアです。口座情報の改ざんや送金指示のすり替えに特化しており、2012年から2013年にかけて日本の金融機関で被害が多発しました。
Panda Bankerは、Zeusのコードを基に開発された比較的新しいマルウェアです。画面の動的改ざんなど、より高度なMITB攻撃機能を実装しており、検知を回避する仕組みも進化しています。
これらのマルウェアは主にWindows環境を標的としていますが、一般的なアンチウイルスソフトでは検知が困難な場合があります。攻撃者は検知を回避するため、マルウェアのコードを頻繁に変更し、新しい亜種を次々と生成しているためです。
MITB攻撃とMITM攻撃の違い
MITB攻撃とよく混同されるのが、MITM攻撃（Man in the Middle Attack、中間者攻撃）です。両者は名称が似ており、どちらも「中間者攻撃」の一種とされますが、攻撃の実行場所と手法に明確な違いがあります。
MITM攻撃は、通信経路上に攻撃者が介入する手法です。例えば、公共のWi-Fiネットワークに偽のアクセスポイントを設置し、そこを経由する通信をすべて盗聴・改ざんします。通信の暗号化（SSL/TLS）が適切に実装されていれば、ある程度防御可能です。
一方、MITB攻撃は、利用者のPC内部、具体的にはブラウザのプロセス内で実行されます。ネットワーク上の通信経路には介入せず、正規の通信経路を使用します。そのため、通信先は本物のサーバーであり、SSL証明書も正規のものが使用されます。
この違いは対策方法にも影響します。MITM攻撃はネットワークレベルでの対策（VPNの使用、証明書の検証強化など）が有効ですが、MITB攻撃にはエンドポイント（PC端末）レベルでの対策が必須となります。
MITB攻撃とフィッシング攻撃の違い
フィッシング攻撃も金融機関を標的とした攻撃手法ですが、MITB攻撃とは根本的なアプローチが異なります。
フィッシング攻撃では、攻撃者が作成した偽サイトへ利用者を誘導します。見た目は本物そっくりですが、URLが異なり、SSL証明書も偽物または存在しません。利用者がこの偽サイトで認証情報を入力すると、攻撃者に直接送信されます。
MITB攻撃では、利用者は本物のサイトにアクセスします。URLも正しく、SSL証明書も正規のものです。しかし、ブラウザに潜伏したマルウェアが通信内容を改ざんします。
フィッシング攻撃は「偽サイトへの誘導」という利用者の判断ミスに依存しますが、MITB攻撃は利用者が正しく行動していても被害に遭う点が本質的な違いです。これが、MITB攻撃が「見えない脅威」と呼ばれる理由です。
近年では、フィッシングメールでマルウェアを配布し、感染後にMITB攻撃を実行するという、両者を組み合わせた複合的な攻撃手法も確認されています。警察庁の2024年の統計でも、フィッシング被害とマルウェア感染が連動した不正送金事例が多数報告されています。
MITB攻撃による具体的な被害事例
実際の被害事例を知ることで、MITB攻撃の脅威をより具体的に理解できます。
法人口座への攻撃
日本国内で多発しているのが、企業の経理担当者を狙った攻撃です。攻撃者は経理部門のPCをマルウェアに感染させ、取引先への支払い業務中に介入します。担当者が正規の振込操作を行っているつもりでも、振込先が攻撃者の口座に変更されており、数百万円から数千万円規模の資金が窃取されます。
全国銀行協会の統計によると、2024年第4四半期の法人口座における不正送金被害額は前四半期比で約4.5倍に急増しており、1件あたりの平均被害額も大きい傾向にあります。企業にとっては、財務的な損失だけでなく、取引先への支払い遅延による信用低下という二次被害も発生します。
個人口座への攻撃
個人利用者も深刻な被害に遭っています。オンラインバンキングの認証情報（ID、パスワード、乱数表番号、ワンタイムパスワードなど）が盗まれ、気づかないうちに預金残高がゼロになっているというケースも報告されています。
攻撃者は盗んだ情報を使い、利用者がログインしている間にリアルタイムで不正送金を実行します。すべての犯行がログイン中に完了するため、利用者が異変に気づいた時には既に手遅れという状況が発生します。
2023年の警察庁の統計では、不正送金被害の約6割が40〜60代で発生しており、インターネットバンキングを日常的に利用する層が主な標的となっています。
2014年の大規模被害事例
2014年5月に発生した事例は、MITB攻撃の危険性を象徴する出来事として広く知られています。この事件では、ワンタイムパスワードを生成するハードウェアトークンを利用していた顧客でさえ被害に遭いました。
攻撃者は、感染したマルウェアを通じてオンラインバンキングへのアクセスを検知し、正規のログイン処理の最中に偽の画面を表示させました。この偽画面で追加の認証情報を入力させることで、ワンタイムパスワードを含むすべての認証要素を入手し、不正送金を実行しました。
この事例は、従来のセキュリティ対策だけでは不十分であることを示す重要な事件となりました。
従来のセキュリティ対策が効かない理由
MITB攻撃が特に危険視される理由は、一般的なセキュリティ対策を突破できる点にあります。
SSL/TLS暗号化通信では防げない
多くの利用者は「鍵マークが表示されていれば安全」と考えていますが、MITB攻撃にはこの前提が通用しません。
SSL/TLSによる暗号化は、ネットワーク上の通信を第三者に盗聴されないための技術です。しかし、MITB攻撃はネットワーク上で通信を傍受するのではなく、ブラウザ内部で動作します。暗号化される前のデータ、または復号化された後のデータを直接操作できるため、暗号化通信は何の障壁にもなりません。
利用者から見れば、アドレスバーには「https://」で始まる正しいURLと鍵マークが表示されており、証明書も正規のものです。しかし、その裏側でマルウェアが密かに通信内容を改ざんしているのです。
ワンタイムパスワードも突破される
ワンタイムパスワード（OTP）は、1回限り有効なパスワードを生成することで、固定パスワードの盗用を防ぐ仕組みです。しかし、MITB攻撃ではリアルタイムで攻撃が実行されるため、OTPでも防げません。
具体的には、利用者が正規のログイン処理を行う際、マルウェアはその操作に便乗します。利用者がOTPを入力した直後、マルウェアはその認証済みのセッションを使って不正送金を実行します。あるいは、偽の画面で複数のOTPやすべての乱数表番号を入力させ、後で悪用するケースもあります。
トランザクション認証という、取引内容そのものに対する認証機能を持つOTP（例：送金先と金額が表示されるトークン）であれば、ある程度の防御効果がありますが、一般的なログイン用OTPでは不十分です。
多要素認証だけでは不完全
多要素認証（MFA）は、「知識」「所有」「生体」の異なる認証要素を組み合わせることでセキュリティを高める手法です。しかし、MITB攻撃は認証後の操作を改ざんするため、認証の強化だけでは根本的な対策になりません。
利用者が正しく多要素認証を突破してログインした後、そのセッション内で実行される操作がマルウェアによって書き換えられるためです。攻撃者は「正規にログインした利用者」として振る舞えるため、多要素認証は最初の関門を突破されれば無力化されます。
ただし、多要素認証が完全に無意味というわけではありません。トランザクション認証のように、個々の取引ごとに認証を求める仕組みであれば、不正操作を検知・阻止できる可能性があります。
MITB攻撃への実践的な対策
MITB攻撃への対策は、「マルウェアに感染させない」「感染しても動作させない」「動作しても被害を最小化する」という多層防御の考え方が重要です。
マルウェア感染対策の徹底
最も基本的かつ効果的な対策は、そもそもマルウェアに感染しない環境を構築することです。
セキュリティ対策ソフトの導入と更新が第一歩です。ただし、従来型のシグネチャベースのアンチウイルスでは、新種のマルウェアや亜種に対応できないケースがあります。NGAV（次世代アンチウイルス）のように、機械学習や振る舞い検知技術を使用した製品の導入が推奨されます。
OSとアプリケーションの定期的な更新も不可欠です。セキュリティパッチが公開されたら速やかに適用することで、既知の脆弱性を悪用した感染を防げます。Windows UpdateやMicrosoft Updateを有効化し、自動更新を設定しておくことが基本です。
不審なメールやリンクを開かないという利用者教育も重要です。特に添付ファイル付きのメールや、不自然な日本語のメール、差出人が不明確なメールには細心の注意を払う必要があります。業務メールを装った標的型攻撃も増加しているため、取引先からのメールであっても、添付ファイルを開く前に電話などで確認する習慣をつけることが推奨されます。
EDRの導入による高度な防御
EDR（Endpoint Detection and Response）は、PC端末の動作を常時監視し、不審な挙動を検知・対処するセキュリティ製品です。MITB攻撃のようなファイルレス攻撃や、既存のアンチウイルスをすり抜ける高度な脅威に対して有効です。
EDRは、マルウェアがブラウザプロセスに注入しようとする動き、不正な通信を試みる挙動、異常なファイル操作などを検知します。検知した時点で管理者に通知し、該当プロセスを隔離するなどの対応を自動または手動で実行できます。
企業環境では、EDRとSOC（Security Operation Center）を組み合わせ、24時間体制で監視する体制を構築することも検討すべきです。特に、経理部門など金銭を扱う部署のPCには優先的に導入することが推奨されます。
ブラウザのセキュリティ強化
ブラウザ自体のセキュリティ設定を見直すことも対策の一つです。
ブラウザを最新バージョンに保つことは基本中の基本です。Chrome、Firefox、Edgeなどの主要ブラウザは、定期的にセキュリティアップデートをリリースしています。自動更新を有効にし、常に最新版を使用しましょう。
不要な拡張機能やプラグインを削除することも重要です。ブラウザ拡張機能の中には、悪意のあるものや脆弱性を持つものが存在します。使用していない拡張機能は無効化または削除し、信頼できる提供元の拡張機能のみを使用するべきです。
JavaScriptの実行制限も検討できます。特定のサイトでのみJavaScriptを許可し、それ以外では無効化する設定（NoScriptなどの拡張機能を使用）により、マルウェアの動作を制限できます。ただし、この設定は利便性とのバランスが難しく、正規サイトが正常に動作しなくなる可能性もあります。
トランザクション認証の活用
金融機関が提供するトランザクション認証は、MITB攻撃に対して比較的有効な対策です。
トランザクション認証では、送金操作ごとに、振込先口座番号や金額を含んだワンタイムパスワードが生成されます。ハードウェアトークンやスマートフォンアプリに表示される取引内容を確認し、それが自分の意図した取引であることを確認してからパスワードを入力します。
この仕組みにより、マルウェアが送金先を改ざんしても、トークンに表示される情報が異なるため、利用者が異変に気づける可能性があります。ただし、利用者がトークンの表示内容をきちんと確認しないと意味がないため、確認を習慣化することが重要です。
専用端末や仮想環境の利用
企業の経理業務など、重要な金融取引を行う場合、オンラインバンキング専用のPCを用意するという対策も有効です。
この専用PCでは、オンラインバンキング以外の操作（メールの閲覧、Webブラウジング、USBメモリの使用など）を一切行わないことで、マルウェア感染のリスクを大幅に低減できます。ネットワークも業務ネットワークとは分離し、直接インターネットに接続する構成にすることで、内部ネットワーク経由の感染も防げます。
また、仮想環境（仮想マシンやサンドボックス環境）でオンラインバンキングを利用する方法もあります。仮想環境内で感染しても、ホストOSには影響を与えないため、被害を局限化できます。
セキュリティ教育と訓練
技術的対策と同じくらい重要なのが、利用者のセキュリティ意識向上です。
定期的なセキュリティ教育を実施し、MITB攻撃のような最新の脅威について従業員に周知します。特に、「正規サイトを使用していても安全とは限らない」という認識を持たせることが重要です。
標的型メール訓練も効果的です。実際の攻撃メールを模擬したメールを送信し、従業員の対応を確認します。添付ファイルを開いてしまった従業員には個別にフィードバックを行い、次回は正しく対応できるよう指導します。
また、「口座残高をこまめに確認する」「取引履歴を定期的にチェックする」「身に覚えのない取引があればすぐに金融機関に連絡する」といった基本的な行動指針も徹底させましょう。
金融機関側の対策
利用者側だけでなく、金融機関側も様々な対策を講じています。
MITB攻撃専用の検知製品の導入が進んでいます。PhishWallなどのソフトウェアは、ブラウザにインストールされ、マルウェアによる不正な操作を検知してブロックします。一部の金融機関では、こうした専用ソフトの利用を推奨または必須化しています。
不正送金検知システムの高度化も重要な対策です。通常とは異なる送金パターン（大口送金、深夜の送金、新規登録直後の送金など）をAIや機械学習を使って検知し、取引を一時停止して本人確認を行う仕組みが導入されています。
暗号資産交換業者への送金規制も強化されています。警察庁と金融庁は2024年2月、金融機関に対して、送金元口座と異なる名義での暗号資産交換業者への送金を停止するよう要請しました。不正送金の資金洗浄に暗号資産が悪用されるケースが多いためです。
MITB攻撃の最新動向と今後の脅威
サイバー攻撃の手法は日々進化しており、MITB攻撃も例外ではありません。
クラウドサービスへの標的拡大
従来、MITB攻撃の主な標的はオンラインバンキングでしたが、近年は企業の基幹システムやSaaSへの攻撃が増加しています。
クラウド会計システム、給与計算システム、顧客管理システムなど、企業活動の中核を担うクラウドサービスが狙われるようになっています。これらのサービスへの不正アクセスにより、より広範囲かつ深刻な被害が発生するリスクが高まっています。
シングルサインオン（SSO）の認証基盤も標的となっています。SSO経由でアクセスできるすべてのサービスが危険にさらされるため、一度の攻撃で甚大な被害をもたらす可能性があります。
AI技術の悪用
攻撃者がAI技術を悪用する事例も報告されています。AIを使って自動生成された偽画面は、より精巧で見破ることが困難です。また、利用者の行動パターンを機械学習で分析し、検知システムを回避する攻撃も技術的には可能です。
防御側もAIを活用した検知システムの導入を進めていますが、攻撃と防御のイタチごっこが続く状況となっています。
ボイスフィッシングとの複合攻撃
2024年秋以降、ボイスフィッシングと呼ばれる新しい手口が法人口座で急増しています。犯罪グループが企業に電話をかけ、オンラインバンキングの更新手続きを装ってメールアドレスを聞き出し、その後フィッシングメールを送付する手法です。
山形鉄道が約1億円の被害を受けた事例など、法人組織への被害が目立っています。電話による社会工学的手法とMITB攻撃を組み合わせた複合的な攻撃は、今後さらに増加する可能性があります。
まとめ
MITB攻撃は、正規のWebサイトを利用していても被害に遭う可能性がある、見えない脅威です。SSL暗号化や多要素認証といった従来のセキュリティ対策だけでは防ぎきれないことを理解し、多層的な防御体制を構築することが不可欠です。
個人利用者ができることは、セキュリティ対策ソフトの導入と更新、OSやブラウザの最新化、不審なメールやリンクを開かない習慣、口座残高のこまめな確認です。金融機関が提供するトランザクション認証機能や専用ソフトがあれば、積極的に活用しましょう。
企業が講じるべき対策は、EDRの導入、セキュリティ教育の実施、オンラインバンキング専用端末の用意、不正送金検知システムの活用です。特に経理部門など金銭を扱う部署には、重点的な対策が必要です。
2024年のインターネットバンキング不正送金被害は依然として高水準で推移しており、企業・個人を問わず警戒が必要な状況が続いています。MITB攻撃という脅威を正しく理解し、適切な対策を講じることで、大切な資産を守りましょう。
出典・参考資料
警察庁「令和5年におけるサイバー空間をめぐる脅威の情勢等について」
警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢」
全国銀行協会「インターネットバンキングによる預金等の不正な払戻しの状況について」
金融庁「フィッシングによるものとみられるインターネットバンキングによる預金の不正送金被害」
