金融廳呼籲金融機構使用者警惕可疑郵件 也應使用多重身份驗證

本文要點

• 金融廳推薦使用密碼鑰匙以防釣魚攻擊
• 政府決定緊急對策方案

也要求個人配合

金融廳於6日向金融機構的使用者發出警告，提醒他們警惕假冒真實企業或政府機構的可疑郵件。由於不法入侵導致客戶資訊洩漏的事件層出不窮，利用洩漏的資訊假冒真實企業或政府機構的精巧郵件可能會增加。

金融廳解釋，互聯網上公開的客戶服務和業務系統仍然遭受不法入侵，並要求金融機構的使用者採取以下措施：

• 不要輕易點擊郵件中的鏈接
• 不要重複使用密碼
• 使用具備抵抗釣魚的多重身份驗證
• 若收到不明的交易通知等，應立即聯絡交易的金融機構

由於假冒金融機構的釣魚攻擊導致的不法匯款和不法交易事件增加，金融廳與金融機構及警察廳合作，透過傳單和影片進行警示。同時，也呼籲使用具備抵抗釣魚的多重身份驗證。

宣傳傳單指出，即使郵件中包含金融機構名稱，也可能存在偽裝的風險，並促使使用者確認發件人的郵件地址及所列鏈接的真實性。由於偽網站的精巧程度已達到幾乎無法辨別的地步，因此建議使用者將金融機構的官方網站加入書籤，並從正規的應用商店安裝官方應用程式。

此外，金融廳指出，僅依賴傳統的密碼防護無法完全防止金融犯罪，並建議使用「密碼鑰匙」進行身份驗證。密碼鑰匙是一種透過指紋、面部等生物識別或PIN碼進行登錄的系統。

同時也介紹了使用公開金鑰和私密金鑰對的PKI（公開金鑰基礎設施）進行身份驗證的方式。透過可信的第三方如認證機構（CA）發放電子證書，證明公開金鑰與擁有者之間的關係，從而提高身份確認的可靠性。

另一方面，金融廳指出，使用郵件或簡訊接收的一次性密碼進行的多重身份驗證，可能會因即時釣魚攻擊、中間人攻擊或惡意軟體竊取資訊而被突破。呼籲轉向如密碼鑰匙或PKI等對釣魚攻擊具有抵抗力的身份驗證方式。

金融廳正在修訂監管指導方針和事務指導方針，以納入針對釣魚攻擊的多重身份驗證的導入等措施。政府與金融業界跨部門合作，推進對使用者的宣導。

政府也決定緊急對策方案

此次的警示是基於政府當天決定的「網路安全緊急對策方案」。因應接連發生的網路攻擊導致的資訊洩漏，於首相官邸召開的第二次網路安全相關閣僚會議上進行了總結。

政府將此方案視為邁向符合AI時代的網路安全體系的起點。為了加強對網路攻擊的應對，還撥出約100億日圓的預備費用。

在受害案例中，許多組織或委託方的基本對策不足，包括已知的漏洞未被修補、網站設置不當、開發時缺乏安全對策等。這些弱點在AI的進展下，可能在短時間內被大規模利用，強調這是「我們國家整體社會應該面對的課題」。

最終目標是「確保世界最高水準的網路韌性（恢復力）的社會」。

該方案由以下四個支柱構成：

• 徹底執行利用AI的基本安全對策
• 收集和整合攻擊資訊，強化調查和分析體系
• 對網路攻擊進行戰略性應對
• 加強對受害者的支援和防止擴大損害的對策

具體措施包括設立由高級專業人才組成的「頂尖人才團隊」於資訊處理推進機構（IPA），進行利用AI的漏洞檢測和滲透測試（模擬入侵測試）。同時，圍繞國家網路統籌室，建立從企業和安全業者收集攻擊資訊並進行分析的體系。

為了讓受害的組織或個人不會孤立，還將設立諮詢窗口。對於企業，設立警察的法人受害專用窗口、IPA等的免費諮詢，以及各主管部門的專業窗口。對於個人，將以消費生活中心（188）為入口，並在官邸網站上提供遭受洩漏的人的窗口資訊。

國家網路統籌室將與各窗口共享手法資訊，確保無論向哪裡諮詢都能獲得支援。

於10月30日開設的「網路應對特設網站」中，匯總了諮詢窗口和注意喚起的資訊。對於假冒和錯誤資訊，將與相關部門合作發佈準確的資訊。