守～ってあげたい♪:フィッシング

カテゴリ：フィッシング

• Hotmailからのおわびは?
  [ 2009-10-07 11:45 ]
• 「カード当てマジック」でひっかかる?
  [ 2008-03-12 15:28 ]
• 今年も春から縁起が悪い?
  [ 2008-02-19 15:55 ]
• フィッシング」　(詐欺や不正アクセス禁止法違反) で逮捕者
  [ 2007-02-07 14:55 ]
• 「フィッシング詐欺をしている」という電話がかかったら
  [ 2006-03-20 12:44 ]
• まとめてフィッシング対策の勉強
  [ 2006-03-07 13:15 ]
• お勧めビデオ～怪しい?
  [ 2005-12-06 08:56 ]
• フィッシングは犯罪ではない・・・
  [ 2005-09-12 18:11 ]
• フィッシング・メールの見分け方
  [ 2005-08-01 09:54 ]
• 多種多様なフィッシング詐欺
  [ 2005-07-28 14:19 ]

Hotmailからのおわびは?

女性「Web メール」の主流は「Yahoo! メール」と「Hotmail」
という調査結果に該当する同僚が
「Hotmail」数千アカウントが流出、フィッシング詐欺被害で
のせいか、変なメールが山ほど来ています・・・とかなりムッとしている。

あら
Gmailや米Yahoo!メールも情報流出、パスワードの変更を
という記事も出たので、他人ごとではないのかも。

しかし
商品券５億円、情報流出のおわび…アリコジャパン
という記事を見つけた。
そういえば、先日、アリコからそんな文書が来ていたな～
あら、商品券が届くのかしら? でもそれで、ガンガン自宅の電話が鳴るのも、嫌だな～

「カード当てマジック」でひっかかる?

火曜日の日経産業新聞に

+++++
■ ヤフーやミクシィ相次ぎ採用、オープンＩＤ　国内普及の兆し
　１つのＩＤで複数のウェブサイトのサービスを利用できる技術規格「Ｏｐｅｎ（オープン）ＩＤ」が国内で広がる兆

しが見えてきた。ヤフーやミクシィなどのネット大手が相次いで採用を表明。４月には米普及団体の日本支部が設立さ

れる。ネットサービスの利用者と運営者の双方にとって利便性を高める技術だが、信頼性の確保や対応サイトの拡大な

どの課題も少なくない。
+++++

という記事が出ていた。確かにあちこちに色々なID/PWを入れるのは面倒だけど、この世の中、かなり物騒。

あなたの身近なセキュリティ
第7回：WWW編（5）フィッシング詐欺で「釣られない」ために
というコラムにもまとめられているが、昨今のフィッシング詐欺は一筋縄ではないですからね。

そして
悪党に努力は要らない――“カモ”はまだそこら中に
に書かれているように、セキュリティ感覚の緩い人はいっぱいいるからな～

今年も春から縁起が悪い?

詐欺・なりすまし被害の増加が続く――FTC報告書
というレポートが出ていますが、
Hotmailの偽サイトが開設
とか
「フィッシングメール無視して」も実はフィッシング、Trend Microが報告
とか、毎日のように記事が出てくると、「今年も春から縁起が悪い?」

まあ、日本でも nifty のようなISPを語る手口も出てきましたからね・・・

フィッシング」 (詐欺や不正アクセス禁止法違反) で逮捕者

「フィッシング」容疑で４人逮捕
というニュースが大手の新聞やらテレビで流れれば、それは何? という感じで、
アンチフィッシングツールの検知能力、米大学が比較実験　ほか
あたりの記事も読まれるのかもしれませんが、どうでしょ?

ニフティ/マイクロソフト/OCNらが“情報セキュリティ強化宣言”をキックオフ
あたりの主要団体がどこまで継続的に動きを見せていけるものでしょうか?

「フィッシング詐欺をしている」という電話がかかったら

自社サーバがフィッシングサイトに「踏み台化」されたら？

という記事が出ました。

《可能な限り素早く該当ホストをネットワークから切り離す（再起動あるいは電源オフは不可）》

という心構えが出ていますが、以外と出来ていないと聞きますね。
要するにLANポートをはずす、ということなのですが、その該当サーバがかなり使われているサーバだったら躊躇してしまう場合もあるでしょうし、動転して電源を切る、というのは人間の心理かもしれません。でも、それは駄目、という話です。

もう一歩踏み込んだことも書いてほしかったコラムなのですが、まあとりあえず最低限の心構えだけでも持ってください。

私が書いた文ではないのですが、筆者が書きかけの時から原稿を読んでいたので。クリックとともにコメントも「もとむ」さんにお寄せください。

まとめてフィッシング対策の勉強

ITmediaに
企業責任としてのフィッシング対策
というコーナーが新設されました。

まだ、関連記事、関連リンクなどの掲載だけにとどまっていますが、セキュリティ関係の友人が執筆中、という話も聞いたので、その充実を待つことにしましょう。

お勧めビデオ～怪しい?

経済産業省の系統のNPO法人のPOLICEチャンネルが運営するポリスチャンネルは、動画コンテンツ
「インターネット安全教室2005年版　～トラブルや犯罪被害にあわないために～」
の配信を12月5日から開始した。視聴は無料。

割合やさしいストーリー仕立てでフィッシング詐欺や無線LANのセキュリティなど18分弱なので、お昼休みにチェック!

フィッシングは犯罪ではない・・・

国によって詐欺行為の捉え方、法律の整備の仕方が違うので、「フィッシング」は必ずしも犯罪になりません。ただし「フィッシング」によって不正に入手した個人情報を元に「詐欺」を働くと犯罪になります。

巧妙な手口で拡大するフィッシング詐欺
の中で言われているように、電子証明書を使うのも一つの方法でしょうが、まず「何故ここで個人情報の入力が必要なのか」と疑ってみることが必要です。
それは「おれおれ詐欺」で振込をする前に、他の方法で確認をする行為と同様の注意を持つことです。

フィッシング・メールの見分け方

日経BPのサイトに
“フィッシング時代”のメール「べからず」集
という記事が掲載されています。

HTMLメールは避けましょうとか、個人情報を質問することはいけませんとかが書いてあります。裏を返せば、こうしたメールはいったん「フィッシングかも?」という疑いで見る必要があるということです。また、アクセスするサーバがどこにあるのか、もきちんとチェックすべきだというのは、この頃は他社のサーバを乗っ取り、こうした悪意のネット行為をする場合もあるからです。

三重県が運営するサーバーに不正侵入，フィッシングやスパムに悪用される

常時接続のサーバを管理する人は十分ご注意ください。

多種多様なフィッシング詐欺

昨年末に書かれた
いまさらフィッシング詐欺にだまされないために
では、フィッシング詐欺の以下のようなテクニックが取り上げられていた。

●スパム

営利目的のスパムメールと詐欺目的のフィッシングメールではメールの内容は異なるが、さまざまな方法で収集したメールアドレス宛に無差別にメールを大量配信するという点では同じだ。スパマー（スパム送信者）のメールアドレス収集や無差別大量配信といったテクニックはそのままフィッシングにも利用される。

●スプーフィング（なりすまし）

偽メールや偽サイトであることをごまかすためにスプーフィングのテクニックが使われる。一般の人が本物か偽物かを識別するために確認するWebブラウザのアドレスバーやステータスバー、メールの差出人欄などがスプーフィングの対象である。アドレスバーやステータスバーの詐称にはセキュリティホールやJavaScriptが悪用される。

●ソーシャルエンジニアリング

ここでのソーシャルエンジニアリングとは、人の心理を突き、うっかり個人情報を漏らしてしまうように仕向けるテクニックをいう。メールのタイトルや本文に工夫を凝らし偽サイトへ誘導する。例えば、パスワードの期限切れやセキュリティ向上のためにユーザー情報の再入力を求めるといった具合だ。そして訪問した偽サイトは本物そっくりに作られていて、さらに偽物であることを気付かせないために、ユーザー情報を入力させた後でメンテナンス中などのエラーメッセージを表示する。

●マリシャスコード（悪意のあるコード）

ウイルス、ワーム、トロイの木馬を利用し、コンピュータを乗っ取る。遠隔操作できるようになったコンピュータは、偽メールの配信やフィッシングサイトを構築するために使われる。最近では、Botネットを悪用するケースが増えてきている。

●セキュリティホール

前述のアドレスバーやステータスバーの詐称はセキュリティホールを悪用して行われる。Webブラウザのセキュリティホールだけでなく、本物のサイトのWeb アプリケーションのセキュリティホール（クロスサイトスクリプティングなど）が悪用されるケースもある。

●ハッキング

偽メールや偽サイトのためにコンピュータを乗っ取る。犯行を隠すために踏み台として利用する。

さて、7月27日に開催された「Virus Conference for Enterprise 2005」での講演のレポート
「ネットユーザーの協力でサイバー犯罪は減らせる」警察庁羽室氏
では別の見方が示されていた。

フィッシング詐欺を「メール送付型」「hostsファイル書き換え型」「DNSキャッシュポイズニング型」などに分類した。
メール送付型は、いわゆるフィッシングメールでサイトに誘導するタイプのフィッシング詐欺。
hostsファイル書き換え型は、ウイルスなどの不正プログラムにより、hostsファイルを書き換え、意図しないサイトへアクセスさせるタイプのフィッシング詐欺だ。
また、DNSキャッシュポイズニング型は、DNSのキャッシュを偽装させ、意図しないサイトへ誘導させる。こちらはファーミング詐欺とも呼ばれる。
このほか、無線LAN環境でパスワードや暗号化などを設定してない場合に、「Wi-Phishing」というタイプのフィッシングに悪用される場合もあると指摘した。

また、
本物と偽物のサイトを組み合わせるフィッシング詐欺
という事例も報告されている。