はじめに

前編に引き続き、対面／POS加盟店がカード情報流出リスクを確実に低減し、PCI DSS準拠を達成するにあたり考慮すべきポイントを解説します。

4. POSマルウェアの対策

2013年末に発生した米小売大手でのカード情報流出事件以降、この事件と同様の手口である、POS端末に感染するマルウェアを使った情報流出事案が数多く報道されています。中には、日系POSベンダーのPOS端末が「Backoff」マルウェアに感染し、全米395店舗でカード情報を流出した飲食店のケースがありました。また、国内でもPOSマルウェアの感染事例が報道され、現実的な脅威として認識されるようになってきました。
POSマルウェア対策で考慮すべきことは、アンチウイルスソフトだけに依存してはいけないことです。「Backoff」マルウェアは、活動の始まった2013年10月から2014年8月までアンチウイルスソフトでは検出できなかったとされ、1000を超える米国企業が感染したと推定されています。つまり、アンチウイルスソフトが突破されても侵害を食い止められるよう、複数のレイヤーで対策を施すことが重要になります。
PCI SSCが2014年11月に公開した加盟店向けのPOSマルウェアの注意喚起「Protecting Your Customer’s Payment Card Data from Malware」では、次の5点の対策を挙げています。

⑴ 最新のアンチウイルスソフトを使用し、パッチを最新の状態に保つ
⑵ システムログを手動あるいは自動ツールでレビューし、疑わしいアクティビティを
    チェックする
⑶ すべてのデフォルトおよび従業員のパスワードを安全なものに更新する
⑷ 次の実装を考慮する
    ・PCI認定のSRED機能を備えたPOIデバイス
    ・PCI認定のP2PEソリューション
⑸ すべてのサードパーティベンダーが、PCI DSSに沿ったセキュリティコントロールを
    適切に実装および維持していることを確認する

出所：PCI SSC「Protecting Your Customer’s Payment Card Data from Malware」を元に付番および意訳

⑴、⑵、⑶、⑸は、PCI DSS要件として求められる内容でもあります。段階的にPCI準拠を進めたいという組織は、該当するPCI DSS要件の実施状況をチェックすることから始めるのもひとつの方法でしょう。それぞれ次のPCI DSS要件が該当する内容になっています。
⑴ 要件5.1, 5.2, 6.2
⑵ 要件10.6
⑶ 要件2.1, 2.1.1, 8.2.3, 8.4, 8.5
⑸ 要件12.8.4, 12.8.5

⑷は、カードリーダーで読み取った時点で直ちにカード情報を暗号化し、特定のエンドポイントに到達するまで復号しない暗号方式で、P2PE（Point-to-Point Encryption）と呼ばれます。P2PEの起点となるカードリーダーが持つ当該機能をSRED（Secure Reading and Exchange of Data）、復号するセンターまで含んだ全体をP2PEソリューションと呼びます。

通常カードリーダーから読み取られたカード情報は、POS端末のメモリー内で平文の状態で処理されるため、そのデータを狙うRAM Scraping（またはMemory Scraping）と呼ばれる攻撃手法に対して脆弱ですが、P2PEの場合、POS端末はカードリーダーで暗号化されたデータしか扱えないため、この影響を受けないようになっています。
国内では、PCI認定のSREDに対応したピンパッドは出てきていますが、P2PEソリューションはまだのようです。国際ペイメントブランドとPCI SSCは、EMVチップ、P2PE、トークナイゼーションの技術活用による情報の無価値化を推進しており、PCI認定のP2PEソリューションの利用でPCI DSSのオンサイト審査が免除される制度もあるため、今後普及していく可能性はあるでしょう。

5. スキミングのリスクを評価する

スキミングとは、カード情報を許可なく記録し、不正使用目的で他のソース（偽造カード等）へ移すことをいいます。対面／POS加盟店は、基本的に部外者の立ち入るエリアでカード情報を扱うため、常にスキミングの脅威にさらされているといえます。PCI DSS v3.0では、スキミング対策として、カード読取り装置のリスト管理、改ざんや不正置換の定期的な検査、関係者への教育などが要件9.9として追加されました。
PCI SSCが公開している、加盟店向けのスキミング防止ベストプラクティス「Skimming Prevention: Best Practices for Merchants Version 2.0」では、スキミングの種類として以下のような手口が紹介されています。同書には装置の改ざん事例などが写真付きで紹介されているので、店舗スタッフへ教育を行う上でも参考になるでしょう。

・消費者のクレジットカードから直接、小型読取装置（スキマー）で読み取る
・決済端末内部、ケーブルまたはネットワーク機器等に小型のスキミング装置を組み込む
・POSマルウェアによるMemory Scraping
・BluetoothやWi-Fiのワイヤレス通信傍受
・NFC非接触リーダーの通信傍受
・モバイルPOSに見せかけて、スマートフォン等のイヤホンジャックに挿したスキマーで
   読み取る
・正規のカードリーダーやピンパッドを覆う形の「オーバーレイ」と呼ばれるスキマーを
   仕掛ける

出所：PCI SSC「Skimming Prevention: Best Practices for Merchants Version 2.0」を元に抄訳

一般に「スキミング」というと物理的な手口のイメージがありますが、物理的なアクセスを必要とせず効率的にデータを窃取できるPOSマルウェアが重大な脅威となってきているのは前述のとおりです。「オーバーレイ」については、2013年に国内のATMでカード挿入口に仕掛けられたケースがありました。3Dプリンターの普及でプラスチック媒体の複製が容易になったこともあり今後も注意していく必要がありそうです。
このようなスキミングの脅威に対して、自社の店舗がどの程度リスクがあるのかを定量的に評価しておくことは、関係者の理解促進や対策の優先順位を決定する上で重要です。前述のスキミング防止ベストプラクティスでは、店舗およびPOS環境におけるリスク評価手法の一例として、以下の問診票が提供されているので紹介します。

リスク評価問診票

次の問診票をすべて記入することで、「脆弱性スコア」とその結果から店舗が該当するリスクカテゴリーを判定することができます。それぞれの質問には選択式の回答があり、回答ごとに個別の数値が割り当てられています。それぞれの質問に対して、該当する回答の数値を入力してください。

リスクカテゴリー

すべての質問に回答しスコアを合計したら、全体の脆弱性スコアおよびその結果からリスクカテゴリーを判定します。

出所：PCI SSC「Skimming Prevention: Best Practices for Merchants Version 2.0」を元に意訳

まとめ

後編では、対面／POS加盟店が直面する脅威であるPOSマルウェアと、より広い概念であるスキミングについて、PCI SSCの各種参考資料の紹介とあわせて解説しました。
大規模な対面／POS加盟店がPCI DSSに準拠するには、POS入れ替え時期の考慮などがあり、長期間を要することになるでしょう。カード情報の保護が十分でない状態が長期間続けば、情報流出リスクも高まるのは必然です。そのような状況で何から始めるべきか、検討のきっかけになれば幸いです。

参考リソース

• SREDを含むPTS準拠製品のリスト
  Approved PIN Transaction Security (PTS) Devices
  
  ※プルダウンリストから「Functions provided」を「SRED」にしてSearchします

• P2PE準拠ソリューションのリスト
  Validated Point-to-Point Encryption (P2PE)

• POSマルウェア関連のPCI SSC発行物
  PCI SSC Bulletin on Malware Related to Recent Breach Incidents (PDF)
• Protecting Your Customer’s Payment Card Data from Malware (PDF)

• 加盟店向けスキミング防止ベストプラクティス
  Skimming Prevention: Best Practices for Merchants (PDF)

Writer Profile

セキュリティ事業部
セキュリティコンサルティング担当 チーフコンサルタント
池谷 陽（CISSP、CFE、QSA、PA-QSA）

セキュリティ診断部門において、ネットワーク診断、システム基盤構築 ソリューションの研究開発に従事後、2009年よりPA-DSS、PCI DSSの準拠支援および審査を担当。POSベンダーや決済サービス事業者向けの支援・審査実績を多く有する。

• PCI DSS トータルサービス
• PCI訪問調査サービス
• Oracle AVDFサービス
• 改ざん検知 Tripwire Enterprise
• PCI DSS基本コース