金融庁、不審メールの増加を警告　パスキーなどの多要素認証を推奨

金融庁は11月6日、金融機関の利用者に対し、不審メールへの警戒を呼びかけた。企業などへの不正アクセスによって流出した顧客情報が悪用され、実在する事業者や行政機関を装った巧妙なメールが今後さらに増える可能性があるとしている。

利用者には、メール内のリンクを安易にクリックしないことや、フィッシング耐性のある多要素認証の利用などを求めている。

情報漏えいを悪用した不審メールが増える可能性

現在、インターネット上に公開されている顧客向けサービスや業務システムに対する不正アクセスが相次ぎ、顧客情報などが漏えいするサイバーインシデントが発生している。

こうした状況を受け、金融庁は流出した情報が悪用されることで、実在する事業者や行政機関などを装った巧妙な不審メールが今後さらに増加する可能性があると警告した。

金融機関の利用者に対しては、メール内のリンクを安易にクリックしないことに加え、パスワードを使い回さないこと、フィッシング耐性のある多要素認証を利用することを求めている。

また、身に覚えのない取引の通知などが届いた場合には、取引先の金融機関に速やかに連絡するよう呼びかけている。

今回の注意喚起は、政府が同日に決定した「サイバーセキュリティ緊急対策パッケージ」を踏まえたもの。金融庁は、利用者自身も対策を徹底し、大切な財産を保護するよう求めている。

SMS認証でも突破される恐れ、パスキーなどの利用を推奨

金融庁は、フィッシング詐欺への対策として、パスキーなどのフィッシング耐性のある多要素認証の普及も進めている。

金融機関を装ったフィッシングによる不正送金や不正取引の被害が増加していることから、金融庁は金融機関や警察庁と連携し、注意喚起のチラシや動画を公開している。関連する広報資料は11月6日にも更新された。

フィッシング詐欺では、金融機関などを装ったメールやSMSから偽サイトに誘導し、IDやパスワードなどの認証情報を盗み取る手口が使われる。

SMSやメールで受け取るワンタイムパスワードを使った多要素認証も、攻撃者が偽サイトを通じて認証情報をリアルタイムに取得する「リアルタイムフィッシング」などによって突破される可能性がある。

これに対し、パスキーは公開鍵暗号方式を利用した認証技術で、利用者は指紋認証や顔認証、端末のPINなどを使ってログインできる。正規のサービスと認証情報が結び付けられるため、偽サイトに認証情報を盗み取られるリスクを抑えられる。

• 

  金融庁が推奨するフィッシング耐性のある多要素認証。パスキーや公開鍵基盤（PKI）を利用した認証方式を紹介している（出典：金融庁）

金融庁は、金融機関に対してフィッシング耐性のある多要素認証の導入を求める監督指針の改正も実施している。改正後の指針では、ログインや出金などの重要な操作において、パスキーや公開鍵基盤（PKI）を利用した認証方式の実装と原則必須化を求めている。

不審なメールのリンクからログインすることを避け、金融機関の公式サイトや公式アプリを利用するとともに、対応するサービスではパスキーなどの認証方式を活用することが重要となる。