先日、WEBセキュリティの会社に勤める友人と会った。私のブログを結構見ているという話から盛り上がり、最近ウィルスってどうなの?何に気をつけたらいい?と聞いてみたんです。彼の話は面白い話でいっぱいだった。YouTubeの上のような画像。この中心の再生ボタンを押すと、ウィルスのダウンロードが始まるプログラムも見せてもらったが、これはかなり引っかかる・・・。一つ、私がひっかかりそうなものとして『Bボタンフィッシング』を教えてくれた。Bボタンフィッシングとは何?記事の最後には私のブログでもおなじみの、はてなブックマークへ追加ボタンや、バザールのブックマークボタン(Bボタン)を設置しているブログを最近良く見かける。何気なく私はそれを利用したりしている。↑これのこと彼がサンプルとして作ってくれた物を試してみた。Bボタンをクリックすると次の画面が出てくる。『あれ?セッションがきれたのかな』と思い、自分のIDとパスワードを入れてログイン。すると次の画面へ飛ぶ。ここで、ブックマークの追加を押すと、実際にきちんとブックマークが出来るところがまた恐ろしい。見事な流れにフィッシングに気づかなかったよくよくはてなの画面を見るとURLが全然違う画面が一つだけある。それはログイン画面だ。ログイン画面に入力した内容を、サーバーにあるテキストファイルに書き込むプログラムが仕込まれている。ホスト名、IPアドレス、ブックマークした時間。サーバーには、このログインIDとPASSを保存するログファイルがあり、ここに書き込まれる。そのあとの仕組みもいやらしいはてなブックマークする画面というのは次のアドレスだ。http://b.hatena.ne.jp/entry/http://ここにブックマークする記事のURLこれでブックマーク直前の画面にいく。偽ログインが終わったあと、上のアドレスのブックマークURLにジャンプすると、きちんとはてなでブックマークが出来るのです。ややこしい話になるかもしれないけど簡単にばれないような細工もある。偽アドレスhttp://nisemono90.com/89.htmlという記事をブックマークしようと、偽ブックマークボタンを押すと、偽ログイン画面が出て、入力を求められる。ログインして本物のはてなページへ飛ぶと、次のアドレスをブックマークしようとしている。http://nisemono90.com/demo.htmlつまり、はてなに登録するURLは、正常なフィッシングの仕掛けのない記事を使い、フィッシングするページはブックマークされないようにするシステムだ。一応、ネタ用に作ってくれたものなので、このシステムは既に削除されていることをあらかじめご了承ください。これはもしかしたら私も引っかかるかもしれないなと感じ、悪用厳禁で、自己防衛のために覚えておいていただければなと。あとがきつけたし朝方書いた記事で時間がなかったため、ブックマークIDを使うとどんなことをされるのかも聞いていたのですが書ききれませんでした。続きは2007年4月6日中にアップいたしますので、どうかご勘弁くださいますようおねがいします。yet.通りすがりはじめまして、有意義な情報でした。YouTubeのサムネイルからはワンクリサイトに誘導する手口も多いですね。トロイは最悪ですが、一応、サムネイル上にポインターあわせれば、本物は三角マークが変化しますから、見抜けるかと・・・フラッシュとか使って三角マーク変えれば完璧にやられそうですが・・・まだそこまで手の込んだのは見ていません。Bボタンフィッシングは、ココ見なかったら引っかかったかも。サイト運営してますが、こういう悪質なサイトほどスパムや普通のサイトに偽装したりと、宣伝も必死で手段選ばなくてかないませんな。今後も有意義な情報期待してます。16:02Yamadaはじめましてコメントありがとうございます。いっていただけると光栄です。なんといってもブログを書く気力になります。こちらこそありがとうございました。21:47のだめ勉強になりましたはじめまして、いろいろ読みました。簡単にひっかかりそうです。User)この記事へのトラックバックソーシャルブックマークユーザーのIDとPASSをいとも簡単に抜き取る手口これは、みんな騙されそう。気づかないってのがまた、怖いな。IT支部フィッシングを防ぐためのアイコン商標権はてなブックマーク追加アイコン()を使ったフィッシングが話題になっている。(diggなど)で問題になるものだ。いって、ブックマークレットを使えばいいじゃん、というのは悲しい。萌え理論Blog[net]フィッシングの巧妙な手口はてなブックマークを見てたら、そんなエントリを見つけました。Webアプリを作ったことのある人なら、この手口のやり方がイメージできるでしょう。「ホームページを作る人のネタ帳」というブログで,最近の「ウィルス感染経路」と「IDとパスワードを抜き取る手口」について紹介されていた。自分でも気をつけるために,メモしておきたいと思います。巧妙な手口だと思います。これは気が付かないかも。)がひとつのファイルであることを強く望むようになります。