トランザクション署名に対する攻撃例
前回の記事で、さらなるセキュリティ強化策として、ワンタイムパスワードの計算に実行する取引の内容（例えば振込先口座番号、金額など）を入れて計算するトランザクション署名を紹介したが、このトランザクション署名をも突破する、巧妙なソーシャルエンジニアリングの攻撃例を説明したい。前述の10キー付きのトークンを例にその手口を解説すると次のようになる。
- 攻撃者は、ユーザーがログインした際にそのワンタイムパスワードを利用してユーザーの口座にログインする
- 攻撃者はトークンのリセットが必要であるというメッセージをユーザーに表示し、ある特定の番号（または複数の番号）に取引署名を行い、そのワンタイムパスワードの入力を求める
- ユーザーはトークンが利用できなくなるのは困ると思い、求められた通りの操作を行い、取引用のワンタイムパスワードを入力してしまう
- 攻撃者が入手した2個目のワンタイムパスワードは、攻撃者の口座宛送金情報を元に計算された取引署名のワンタイムパスワード値である為、不正送金が行われてしまう
