 |
K子のﾌﾚｯｼｭｾｷｭﾘﾃｨ4ｺﾏを読む >> |
ﾌｨｯｼﾝｸﾞ詐欺とは？
ｲﾝﾀｰﾈｯﾄを利用したｾｷｭﾘﾃｨ被害は増加傾向にありますが､中でも金銭的な被害が多数報告されているのが｢ﾌｨｯｼﾝｸﾞ詐欺｣です｡ﾌｨｯｼﾝｸﾞの表記は､｢釣り｣を意味する｢fishing｣ではなく｢phishing｣ですが､これは､そもそもの｢釣り｣の意に加え､｢ﾕｰｻﾞｰを釣るための餌となるﾒｰﾙが洗練されている､手が込んでいる(Sophisticated)｣ところから来たというのが一般的です｡ほかにも､単に同音の言葉を別の表記で言い換えたｽﾗﾝｸﾞとされる意見もあり､語源は諸説あります｡
このﾌｨｯｼﾝｸﾞ詐欺は､悪意ある第三者(ﾌｨｯｼｬｰ)がｵｰｸｼｮﾝｻｲﾄや有名企業を装い､偽ｻｲﾄ(ﾌｨｯｼﾝｸﾞｻｲﾄ)へのURLﾘﾝｸを貼ったﾒｰﾙを送りつけ､ｸﾚｼﾞｯﾄｶｰﾄﾞ番号や銀行口座などのID､ﾊﾟｽﾜｰﾄﾞや個人情報を入力させ､盗み出すものです｡ｱﾒﾘｶで被害が拡大し､2004年頃から日本でも被害が報告されるようになりました｡本人の口座番号を盗み出して他人の口座に不正送金される被害に遭うだけでなく､大手ﾎﾟｰﾀﾙｻｲﾄなどに登録したｱｶｳﾝﾄが乗っ取られた場合は､偽りの商品をｵｰｸｼｮﾝに出品されたり､相手から出品物を盗みとったりするｵｰｸｼｮﾝ詐欺の片棒を担がされる可能性もあるため一層注意が必要です｡
では､実際の被害件数はどの程度あるのでしょうか｡国家公安委員会､総務大臣及び経済産業大臣が2011年3月3日に発表した｢不正ｱｸｾｽ行為の発生状況及びｱｸｾｽ制御機能に関する技術の研究開発の状況｣によると､警察庁に報告のあった不正ｱｸｾｽ行為を対象にした平成22年度の不正ｱｸｾｽ行為の認知状況では､前年度に比べて減少傾向にあるものの､その手口ではﾌｨｯｼﾝｸﾞｻｲﾄを経由してIDなどの識別符号を入手したとされるものが1,411件となり､その割合は全体の88％に｡ﾌｨｯｼﾝｸﾞ詐欺の被害は引き続き高い水準で推移している状況です｡
また､ﾌｨｯｼﾝｸﾞに関する情報収集や注意喚起などの活動を行っているﾌｨｯｼﾝｸﾞ対策協議会が発表した｢ﾌｨｯｼﾝｸﾞﾚﾎﾟｰﾄ 2011｣によれば､ﾌｨｯｼﾝｸﾞ情報の報告件数は2011年2月までに対前年度比で約33％増え､ﾌｨｯｼﾝｸﾞｻｲﾄの件数は対前年度比で約86%増と大幅に増加傾向にあることがわかります｡特に､ﾌｨｯｼﾝｸﾞｻｲﾄのﾃｲｸﾀﾞｳﾝ(管理者や法務団体によるWebｻｲﾄの強制閉鎖)を回避するなど､ﾌｨｯｼﾝｸﾞ手法の高度化が進んでいることが影響していると報告されています｡同様に､ﾌｨｯｼﾝｸﾞによりﾌﾞﾗﾝﾄﾞ名を悪用された企業の件数は､2009年度は前年から減少したのに対して､2010年度は対前年度で139%増加しており､ﾌｨｯｼﾝｸﾞの対象となるﾌﾞﾗﾝﾄﾞ数が増えつつあることを示しています｡
【参考ﾘﾝｸ】
一般的なﾌｨｯｼﾝｸﾞ詐欺の手口
ﾌｨｯｼﾝｸﾞ詐欺の一般的な手口は､金融機関やｶｰﾄﾞ会社など信用ある企業を名乗る偽装ﾒｰﾙ(ﾌｨｯｼﾝｸﾞﾒｰﾙ)がﾕｰｻﾞｰに届けられ､｢ｶｰﾄﾞの有効期限が切れるので更新してください｣など､記述されたURLをｸﾘｯｸするように仕向けられます｡ｸﾘｯｸした先にはﾌｨｯｼﾝｸﾞｻｲﾄが設置されており､本物そっくりに制作されているため､偽物かどうか一目では区別できないよう巧妙に細工されています｡このﾌｨｯｼﾝｸﾞｻｲﾄ上でｸﾚｼﾞｯﾄｶｰﾄﾞ番号やID･ﾊﾟｽﾜｰﾄﾞなどを入力してしまうことで､個人情報が詐取される仕組みです｡ﾌｨｯｼﾝｸﾞ詐欺でよく使われてきたﾌﾚｰｽﾞには､｢ﾕｰｻﾞｰｱｶｳﾝﾄの有効期限が近づいています｣｢新規ｻｰﾋﾞｽへの移行のため､登録内容の再入力をお願いします｣｢宝くじに当選しました｣｢48時間以内に返信しないと口座が停止されます｣などが挙げられます｡中には､｢お客様の口座で不審な取引が確認されています｡お客様の口座情報を確認してください｣といった､ﾌｨｯｼﾝｸﾞ詐欺への警戒心をそのままﾌﾚｰｽﾞに使っているｹｰｽも｡IDやﾊﾟｽﾜｰﾄﾞを直接ﾒｰﾙで尋ねるのではなく､ﾜﾝｸｯｼｮﾝ置いて入力するように仕向ける､という手口がﾌｨｯｼﾝｸﾞ詐欺の特徴とも言えます｡
ﾌｨｯｼﾝｸﾞ詐欺に使われるﾌｨｯｼﾝｸﾞｻｲﾄの中には､本物のWebｻｲﾄと類似するﾄﾞﾒｲﾝを利用して､ﾕｰｻﾞｰを騙そうとするものもあります｡一見すると正しいように見えるものでも､一文字違っていたり(Yahoo→Yafoo)､繰り返し出現する文字が異なったり(Google→Gooogle)するURLが実際に存在しています｡このﾌｨｯｼﾝｸﾞｻｲﾄへ誘導するためのURLは､ﾒｰﾙに張り付けて送られてくるｹｰｽが多いものの､中には直接URLを入力する人のﾀｲﾌﾟﾐｽを狙ってﾌｨｯｼﾝｸﾞｻｲﾄへ誘導する手口としても使われます｡これは｢ﾀｲﾎﾟｽｸﾜｯﾃｨﾝｸﾞ｣と呼ばれており､ﾒｰﾙ以外であってもﾌｨｯｼﾝｸﾞ被害に遭う可能性があります｡
【参考ﾘﾝｸ】
進化するﾌｨｯｼﾝｸﾞ詐欺の現状
近年では､従来のような単純なﾌｨｯｼﾝｸﾞではなく､より巧妙に攻撃を仕掛けてくる傾向にあります｡それは､ﾒｰﾙやUSBﾒﾓﾘなどから特定の組織にある端末に侵入し､知財情報や個人情報を盗み出す標的型攻撃です｡本来なら一定のｾｷｭﾘﾃｨ対策を実施していれば防げるものでも､組織の対策状況にあわせて攻撃が継続され､重要情報が盗まれるなどの被害が出始めているのです｡このような攻撃は海外では｢Advanced Persistent Threats(APT)｣､独立行政法人 情報処理水新機構(IPA)では｢新しいﾀｲﾌﾟの攻撃｣と呼んでいます｡
その手法の一例を挙げると､まず関係者を装って組織内の特定のﾒｰﾙｱﾄﾞﾚｽにｳｨﾙｽ対策ｿﾌﾄでは検知できない未知のｳｨﾙｽを添付し､ｳｨﾙｽに感染させます｡その後､攻撃者と感染したｳｨﾙｽの間で通常のHTTP通信を模倣したやり取りにより通信環境を構築｡このｳｨﾙｽが組織内を定期的に巡回し､組織内にある知財情報などの機密情報を盗み出し､攻撃者に送付してしまうといった手法です｡情報を盗み出すまでには数ヶ月を要することもあり､組織の状況に合わせてｳｨﾙｽ自身をｱｯﾌﾟﾃﾞｰﾄすることもあります｡
この新しいﾀｲﾌﾟの攻撃が知られたきっかけの1つが､2010年7月頃に発見された､発電所などのｲﾝﾌﾗ制御ｼｽﾃﾑを標的としたｳｨﾙｽ｢Stuxnet（ｽﾀｯｸｽﾈｯﾄ）｣です｡Stuxnetは､USBﾒﾓﾘからWindowsのﾊﾟｿｺﾝに感染し､原子力発電所の制御ｼｽﾃﾑに利用されている独ｼｰﾒﾝｽ社のｿﾌﾄｳｪｱにある脆弱性を悪用し､制御ｼｽﾃﾑへ攻撃を加えるﾏﾙｳｪｱです｡制御ｼｽﾃﾑに影響を及ぼすﾏﾙｳｪｱとして注目されたStuxnetですが､実はこのｿﾌﾄｳｪｱを使っている施設ならどこでも感染するものではありません｡つまり､特定のﾀｰｹﾞｯﾄをﾋﾟﾝﾎﾟｲﾝﾄで狙った標的型攻撃という側面も持っていました｡
国内でも防衛産業を狙った標的型攻撃が2011年9月に発生し､一部報道によれば複数の拠点に点在するｻｰﾊﾞｰやﾊﾟｿｺﾝのうち83台がｳｨﾙｽに感染し､そのｳｨﾙｽの種類は50以上にまで及んだという事件がありました｡ｽﾊﾟｲｳｪｱや外部との通信を確立するﾊﾞｯｸﾄﾞｱ型､ｳｨﾙｽなどをﾀﾞｳﾝﾛｰﾄﾞさせるﾀﾞｳﾝﾛｰﾀﾞｰをはじめ､情報搾取のためのｳｨﾙｽも仕込まれるなど､大きな話題となったことは記憶に新しいところでしょう｡
他にも､人間の心理や行動の隙を狙い､情報を不正に取得するような､技術以外の手口も巧妙化しています｡例えば､東日本大震災や原子力発電所の事故に乗じ､地震や計画停電､放射能の汚染状況など震災関連情報を装った標的ﾒｰﾙも多く飛び交っています｡具体的には､ﾒｰﾙの件名が｢計画停電の実施に関する情報｣や｢お子さんをお持ちの被災者の皆様｣という内容で､その件名に準ずるﾀｲﾄﾙが付けられた添付ﾌｧｲﾙをｸﾘｯｸするとﾏﾙｳｪｱに感染してしまう､といったものです｡
【参考ﾘﾝｸ】
新たな2つのﾌｨｯｼﾝｸﾞ｢ﾓﾊﾞｲﾙﾌｨｯｼﾝｸﾞ｣と｢短縮URL｣
ﾓﾊﾞｲﾙﾌｨｯｼﾝｸﾞとは､ｽﾏｰﾄﾌｫﾝOSそのものの脆弱性をつく攻撃やﾀﾞｳﾝﾛｰﾄﾞｱﾌﾟﾘｹｰｼｮﾝを利用したﾏﾙｳｪｱなどが代表的なもので､新たな脅威として注目されています｡特に､ｽﾏｰﾄﾌｫﾝのﾒｰﾙｿﾌﾄやWebﾌﾞﾗｳｻﾞｰでは､正当なﾒｰﾙかどうか､正しいﾘﾝｸ先かどうかが判別しにくいという課題があります｡また､ｾｷｭﾘﾃｨ意識がさほど高くない若年層のﾕｰｻﾞｰが多いことも､被害が広がりやすい傾向に拍車をかけています｡すでに､著名な携帯ｻｲﾄを装ったﾌｨｯｼﾝｸﾞﾒｰﾙが確認されており､さらにAndroid Market上で､ｵﾝﾗｲﾝﾊﾞﾝｷﾝｸﾞ用のｱﾌﾟﾘｹｰｼｮﾝに見せかけてﾊﾟｽﾜｰﾄﾞの情報を盗み出すﾏﾙｳｪｱが販売されていたことも明らかになっています｡
短縮URLは､Webｻｲﾄが使うURLを短く変換したものです｡短縮URLｻｰﾋﾞｽを使うことで､URLをｱﾙﾌｧﾍﾞｯﾄ数文字程度にすることができるため､投稿に文字数制限があるTwitterやFacebookなどのｿｰｼｬﾙ･ﾈｯﾄﾜｰｸに利用されています｡これを悪用し､ﾌｨｯｼﾝｸﾞｻｲﾄに誘導する目的で､短縮URLを埋め込んだ記事を投稿する新手のﾌｨｯｼﾝｸﾞ詐欺が2009年頃から登場しています｡短縮URLに変換されたURLはどれもhttp://bit.lyのような同じﾄﾞﾒｲﾝで表示され､それに続く文字列も本来のURLとは異なる文字列に変換されてしまいます｡一般的なURLであれば見分けられる可能性があっても､短縮URLを見ただけでは不審なWebｻｲﾄへのﾘﾝｸ先かどうかが判断できないという問題があります｡
特にｽﾏｰﾄﾌｫﾝの場合､Webﾌﾞﾗｳｻﾞｰ以外の専用ｸﾗｲｱﾝﾄｿﾌﾄが利用されるｹｰｽも多く､Webﾌﾞﾗｳｻﾞｰ用に提供されている既存のﾌｨｯｼﾝｸﾞ対策のｾｷｭﾘﾃｨ機能では防ぐことができないなどの課題も明らかになっています｡攻撃者は､常に新たな方法を研究し､ﾌｨｯｼﾝｸﾞ詐欺を目論んでいるということを忘れてはいけません｡
追記: 金融機関はﾌｨｯｼﾝｸﾞ対策のための専用ｱﾌﾟﾘを提供しているところがありますので､そうした専用ｱﾌﾟﾘを利用した方が安全です｡注意すべきﾎﾟｲﾝﾄは､必ず当該金融機関のｻｲﾄからｱﾌﾟﾘをﾀﾞｳﾝﾛｰﾄﾞすることです｡
心構えと具体的な対策
ﾌｨｯｼﾝｸﾞ詐欺に対抗するためには､日頃からﾌｨｯｼﾝｸﾞ詐欺に対する新たな知識を持ち､怪しいﾒｰﾙやﾘﾝｸ先はｸﾘｯｸしないということが何よりも重要です｡なお､ﾌｨｯｼﾝｸﾞ対策協議会では､｢ﾌｨｯｼﾝｸﾞ対策ｶﾞｲﾄﾞﾗｲﾝ｣を公開しており､ｻｰﾋﾞｽ事業者や消費者が考慮すべき要件を挙げながら､具体的なﾌｨｯｼﾝｸﾞ対策を紹介しています｡特に一般の方が考慮すべき対策は以下の通りです｡【ﾌｨｯｼﾝｸﾞ詐欺】
･機微情報(ｾﾝｼﾃｨﾌﾞ情報：個人情報の中でもﾌﾟﾗｲﾊﾞｼｰに関する情報で､漏えいすると不利益が大きいとされるもの)の入力を求めるﾒｰﾙを信用しない
･ﾒｰﾙに記載される差出人名称は信用しない
･怪しいﾒｰﾙの判断基準を知る
･安全なﾒｰﾙｻｰﾊﾞｰを活用したり､類似性評価によるﾌｨｯｼﾝｸﾞﾒｰﾙ判別機能を活用すること
･ﾘﾝｸにｱｸｾｽする前に正規ﾒｰﾙかどうか確認する
【電子ﾒｰﾙ本文中のﾘﾝｸの扱い】
･電子ﾒｰﾙ本文中のﾘﾝｸには原則としてｱｸｾｽしない
･ｻｰﾋﾞｽ事業者からの通知ﾒｰﾙ形式を TEXT 形式に設定する
･ﾘﾝｸ先で機微情報の入力を求められた場合には､電話等でｻｰﾋﾞｽ事業者に真偽を確認する
【ﾊﾟｿｺﾝを安全に保つために】
･最新のｾｷｭﾘﾃｨﾊﾟｯﾁを確実に適用する
･ﾏﾙｳｪｱ対策ｿﾌﾄｳｪｱを適切に用いる
･Webﾌﾞﾗｳｻﾞｰにﾌｨｯｼﾝｸﾞｻｲﾄ判別機能を組込み活用する
･URLﾌｨﾙﾀﾘﾝｸﾞを活用する
【ｱｶｳﾝﾄ情報の管理】
･ｱｶｳﾝﾄID/ﾊﾟｽﾜｰﾄﾞはｻｰﾋﾞｽ事業者別に設定する
･ｱｶｳﾝﾄ管理ｿﾌﾄｳｪｱを導入する
･全てのｱｶｳﾝﾄについて緊急連絡先を把握しておく
また､一般の企業では､ﾌｨｯｼﾝｸﾞに対する従業員への啓蒙活動を十分に行うことはもちろん､ｳｨﾙｽ対策ｿﾌﾄｳｪｱやURLﾌｨﾙﾀﾘﾝｸﾞなどで厳密に管理する必要があります｡同様に､ｽﾏｰﾄﾌｫﾝへの対策については､MDMﾂｰﾙ(ｽﾏｰﾄﾌｫﾝをﾋﾞｼﾞﾈｽなどに用いる際に､運用管理の簡便化やｾｷｭﾘﾃｨの強化などをｻﾎﾟｰﾄするﾂｰﾙ｡iPhoneではｱｯﾌﾟﾙ社純正のﾂｰﾙ､Android機などでは各ｿﾘｭｰｼｮﾝﾍﾞﾝﾀﾞｰが開発したﾂｰﾙが存在する)などでｱﾌﾟﾘｹｰｼｮﾝを制限するなど､PCとは違う対策も行っておきましょう｡さらに､被害に遭った企業は､企業名や自社ﾌﾞﾗﾝﾄﾞを悪用されたことが公になることでｲﾒｰｼﾞﾀﾞｳﾝを嫌う傾向がありますが､消費者保護の観点から積極的に情報を公開することが推奨されます｡ﾌｨｯｼﾝｸﾞ対策協議会やJPCERT/CCなどに通報することで､ｻｲﾄ閉鎖なども可能になる場合もあります｡積極的な情報公開を心掛けましょう｡
【参考ﾘﾝｸ】
