筆者は、2005年8月18日(2010年10月8日更新)に米国FDICのファーミング対策通達について紹介した。今回は、同国の金融監督機関であるOCCが銀行のドメイン名が詐欺的に使われて個人金融取引情報が違法に漏洩されるといった犯罪行為への具体的対策ガイダンス通達の内容を仮訳で紹介する。
連邦財務省通貨監督局（OCC）官報(OCC 2005-24)公示
国法銀行の監督機関たる通貨監督局（2005.7.1）発出
〔標題〕詐欺的な銀行のウェブサイトによる脅威と対策(Risk Mitigation and Response Guidance for Web Site Spoofing Incidents)
〔記載内容〕ウェブサイトへの詐欺事件によるリスクの軽減および対応に関するガイダンス
〔宛先〕全国法銀行(All National Bank)の連邦内支店、代理機関および技術提供業者の執行役員、部長および全検査役
〔目的〕
本公示の目的は、銀行がウェブサイトなりすまし詐欺（Web-site spoofing）犯罪にいかに対応するかについて対応に関するガイダンスの提供である。本公示は、銀行が以下の手続きを遵守することにより、ウェブサイトなりすまし詐欺の検知・対処により銀行自身ならびに顧客のリスク軽減につながることを意図するものである。また、その対応により犯罪形態についての情報を識別し、法執行機関による違法犯罪捜査に寄与することができる。なお、本公示は2003年11月12日付「OCC警告通達2003-11：顧客のなりすまし詐欺被害:電子メール関連詐欺の脅威について」の内容を拡充するものである。
〔背景〕
ウェブサイトなりすましは、本物ではないが少なくとも本物に見える詐欺的なウェブサイトを作り上げるものである。顧客は、典型的な場合「フィッシング」や「ファーミング」といった手段を介してこの詐欺サイトに誘導される。一度この詐欺サイトにつながると、顧客はインターネットバンキング取引における「ユーザー名」、「パスワード」、「クレジットカード情報（有効期限、カード番号）」、その他被害者の口座を詐欺的に利用したり、顧客の人格を盗取するいわゆる「人格なりすまし（Identity Theft）」を介した犯罪に関する各種情報の入力を強制させられることになる。このようななりすまし詐欺行為は、銀行を①戦略リスク、②オペレーショナル・リスクおよび③風評リスク、すなわち顧客のプライバシーを危険な状態に置き、また金融詐欺のリスクの下に置くことになる。
（訳者注）フィッシング、ファーミングについて詳しくは2005年8月18日(2010年10月8日更新)付け本ブログの情報を参照。
〔なりすましを狙った違法な手段〕
銀行は本公示で論じる問題の識別や対応をとることでウェブサイトなりすまし詐欺のリスクを軽減することができる。また、本問題につき責任を有する任命された従業員が的確に対応し、また銀行が必要な対応についての教育を行うことで詐欺被害を最小化できる。さらに銀行がインターネットバンキング業務を外部委託している場合は、当該技術提供会社との契約においてこれら犯罪行為の調査・報告義務を契約書上明記することでなりすまし事件による被害阻止を意図し、一方そのようなサービス事業者の事故対応は銀行の内部手続きと相俟って統合的な効果が生む。
銀行はなりすまし詐欺事件に先立って、連邦捜査局（FBI）や地域の法執行機関との接触を行うことにより、これらの手続きを効率よく遂行できる。これらの接触についてコンピュータ事故における調査にかかる的確な公的責任部署・担当者との接触を含む。
さらに、銀行はこれらの詐欺に伴う顧客のリスク削減のための教育プログラムを活用することができる。その教育内容とは、詐欺的な電子メールの使用やウェブサイトを利用したフィッシング攻撃を含むインターネットが絡む詐欺についてのウェブ上の警告情報や専門スタッフによる徹底が重要となる。また、ブラウザやOSの脆弱性を突く攻撃に対しては、銀行は顧客に対し安全なコンピュータの利用の実践を徹底する必要がある。
〔犯罪の検知と犯罪情報の集約〕
銀行は銀行内部における適正な情報のモニタリングおよび銀行名や商標の違法あるいは権限外のインターネットの利用状況を調査する能力がある。以下の点はウェブなりすましが行われていることについての指標と考えられるリストである。
①銀行のメールサーバーに戻ってきた銀行のメールが本来銀行が発信したものでない場合である。一定の場合、これらのメールはなりすまし詐欺サイトとリンクを張っている。
②ウェブサーバーのログの検証は、銀行のウェブサイトのコピーや疑わしい行動を指し示す疑わしいウェブのアドレスを浮き出しうることになる。
③顧客からのコールセンターや銀行担当者への電話件数、消費者信用に関し疑わしい詐欺的な行動・メール件数の増加。
銀行は企業名、銀行名に関してインターネットID(識別子)を検索することでなりすましを検知することができる。銀行は検索エンジンやその他の手段を使い、ウェブサイト、掲示板、ニュースコーナー、チャットコーナー、ニュースグループ、その他特定企業や銀行名を使ったフォーラムの内容をモニタリングできる。これらの調査によりウェブ名をなりすまし利用する前に銀行のドメイン名に似せたドメイン名の登録を発見することができる。また銀行は、内部のモニタリングの実行やモニタリングサービス事業者を使うことができる。
銀行は、顧客や消費者に対しフィッシング報告や疑わしい行動についてウェブページへのリンクや電話連絡ができるよう奨励することができる。さらに潜在的にウェブサイトへの攻撃から生じる電話対応などの顧客対応専門の担当者を教育する必要がある。
〔情報の集約化〕
銀行はなりすまし事件の発生の事実を決定した後、これら攻撃に対する適切な対応のための可能な各種情報を収集しなければならない。収集した情報は、なりすましサイトの遮断、顧客情報の漏洩の有無の確認、捜査機関の調査の支援に寄与する。以下の情報は銀行が収集する有用な情報のリストである。一定の場合に、銀行はこれらの情報取得のために情報技術の専門家またはサービスプロバイダーの協力を求めることがありうる。
①なりすまし詐欺犯罪の対象となることを認知した手段（例：ウェブサイト、ファックス、電話等の諸報告）。
②顧客が直接的にウェブサイトにつないだ電子メールやその他の形式の文書（例：電話、ファックス等）のコピー。
③IPアドレスに関係する企業の識別するためのなりすましにあったIPアドレス。
④ウェブサイトアドレスおよびなりすまされたサイトのドメイン登録情報。
⑤IPアドレスの地理的情報（州、市、郡）。
〔なりすまし事件への対応〕
なりすまし事件への効率的な対応のため、銀行経営者は既存の組織かつ継続的な手続きをとる必要がある。これらの手続きは、顧客を保護するためになりすましサイトから得た識別情報の取得および引き続いての法執行機関による捜査を支援するための証拠保全を行うためウェブサイトに緊密な観点から設計されねばならない。
銀行は詐欺サイトを無効とし、顧客の情報の回復のために以下のステップを取りうる。また、これらのステップの一部は法律専門家の支援を要するものである。
①違法ななりすましサイトを主催し責任を有しまた疑わしいサイトを遮断するため、書面による場合を含むISPとの適切な通知・連絡関係。
②ドメイン名登録事業者との適切な接触およびドメイン名を無効とするための要求措置。
③なりすましサイトの所有者を確認することおよび「1998年デジタルミレニアム著作権法」に従い顧客情報の復元のため、ISPに宛てた地方裁判所の書記官の召喚状（sabpoena）の確保。
④法執行機関との連携作業。
⑤なりすましを疑わせる活動についての既存の手続き。
以下は、銀行がなりすましに対応してとるべきその他の行動および使用する法律文書である。
①銀行は、ドメイン名登録事業者に対し名前の不正使用または商標の迅速な削除を書面をもって通知すること。
②このような要請文書に効果がない場合、インターネットのドメイン名を登録した企業はドメイン名または商標権が違法に侵害されたとして紛争解決のために「統一ドメイン名紛争解決手続き（UDRP）」に入ることができる。
③この手続きにおいて、銀行はドメイン名登録事業者に対してなりすまし行為の停止を求めることが認められる。しかしながら、銀行はこのUDRPは極めて時間がかかることを念頭に入れておかねばならない。この手続きの詳細はICANN(訳者注)のサイトで詳しい。
④さらに救済策として「連邦ドメイン名占拠被害者保護法(Anti-Cybersquatting Consumer Protection Act：ACCPA）15 USC §1125(d)」 は、銀行が「連邦商標法：ランハム法（15 U.S.C 1125(d)）」43条(d)にもとづき直ちに行動をとることを認めている。特にACCPAは、紛争当事者間で類似性の証明がなくても緊急差止救済が得られることとしている。
〔連邦通貨監督局および法執行機関との接触〕
仮に銀行がなりすましの標的にされたとき、迅速にOCCの監督部への通知およびFBIおよび州・地方自治体の法執行機関に事故報告を行なわねばならない。また、銀行はFBIと全米ホワイトカラー犯罪センターのパートナーである「インターネット詐欺センター」への苦情申請を行う必要がある。
法執行機関はなりすまし詐欺攻撃に対し効率よく対応するため、その識別のために必要な情報を提供し、詐欺によるウェブサイトの遮断、攻撃についての責任を有する者の調査・逮捕を行うのである。前記〔情報の集約〕の項目で述べたことは、この必要性に合致する。
さらに、銀行の監督部署や法執行機関への報告に加えてその他形式的な強制力は弱いものの、銀行はこれらに事件内容の報告や今後の詐欺行為の予防に資するため報告を行いうる。例えば、銀行は「デジタル・フィッシュネット」を利用することができる。この組織はなりすましを含むフィッシング詐欺関連犯罪の犯人逮捕を狙いとして組織されたもので、産業界や法執行機関が共同して取り組むためのものである。メンバーはISP、オンラインオークション業者、金融機関、金融サービス事業者からなる。またこれらのメンバーはFBI、連邦財務省シークレットサービス、連邦取引委員会（FTC）その他フィッシング関連犯罪に含まれる犯人の識別を支援する全米規模の電子犯罪の作業グループなどと緊密な連絡の下で機能している。
最後に、銀行は疑わしい電子メール情報につきFTCのスパム専用サイト（spam@uce.gov.）への提供をなしうる。
***********************************************************:
(訳者注)
ICANN (The Internet Corporation for Assigned Names and Numbers)は、 インターネットの各種資源を全世界的に調 整することを目的として、1998年10月に設立された民間の非営利法人(ICANN Japan Forumサイトから引用)
原典URL: http://www.occ.treas.gov/ftp/bulletin/2005-24.pdf
************************************************************
（今回のブログは2005年8月19日登録分の改訂版である)
***********************************************************************
Copyright © 2005-2010 芦田勝(Masaru Ashida )． All Rights Reserved．No reduction or republication without permission．
コメント
コメントを投稿