更新についてトップページお問い合わせ閉じるサービスサイトさくらのSSLSSLコラム詐欺サイトもSSL化が当たり前?!フィッシング詐欺被害を回避する4つの対策とは?詐欺サイトもSSL化が当たり前?!フィッシング詐欺被害を回避する4つの対策とは?昨今フィッシングサイトによる被害が急増していることをご存知でしょうか?年々手口も巧妙になっており、サイトにSSL証明書が入っているだけでは安全とは言えない状況になっています。フィッシング被害を回避するにはどうすればよいのか?今回はフィッシングについてご紹介します。シェアTweet目次フィッシングとは?フィッシング手口の多様化SSL化(https化)されたサイト=安全なサイトではないドメイン(トップレベルドメイン)で見分けることもできない回避できないフィッシング被害もフィッシング被害に遭わないためにフィッシング回避に絶対はないこちらの記事もあわせておすすめ!フィッシングとは?フィッシング(Phishing)とは、IDやパスワード、クレジットカード番号などの情報を不正に取得する詐欺行為です。フィッシングサイトの多くは、本物そっくりに偽装したサイトにログインさせたり、クレジットカード番号を入力させたりして、それらの情報を不正に取得します。その結果、不正送金や商品を購入して第三者の住所に発送する(そして換金する)、クレジットカード番号を入力させて情報を窃取する、といった被害に遭います。近年フィッシングは手口が非常に巧妙になっており、以前はメール文面の怪しさから容易に判断できていましたが、現在では本物のメールと区別がつきません。偽サイトに本物のサイトと同じログイン情報を表示するなど、サイトの挙動でも判断がつきにくいケースなどが増えています。手口の多様化に啓発活動が追いついておらず、間違ったフィッシングサイトの見分け方が広まっているケースも多いです。SSL化(https化)されたサイト=安全なサイトではない例えば、とあるサイト「example.jp」がSSL化されていない場合、悪意のある第三者がexample.jpを装ってデータを途中で盗んだり、改ざんしたりすることが可能です。これは中間者攻撃と呼ばれる手法ですが、被害者は正規のサイトにアクセスしているように見えて実は中間でデータを窃取されていることになります。サイトがSSL化されていると、この第三者による改ざんを防ぐことができます。そのため、「SSL化されてアドレスバーに鍵アイコンが出れば、フィッシングサイトではない!」と認識している人も多く存在します。SSL化はあくまで中間者攻撃によるデータの改ざんやドメインのなりすましを防ぐ手段であって、フィッシングサイトを見分ける手段ではありません。SSLサーバー証明書(以下、SSL証明書)は、通信先が「example.jp」であることは担保してくれますが、「example.jp」が詐欺サイトで無いことは保証していないのです。Encryptなどの無料SSL証明書の普及により、現在ではSSL証明書の取得コストが著しく低下し、多くのフィッシングサイトがSSL化するようになりました。これらのフィッシングサイトは、中間者攻撃のような手間の掛かる手法ではなく、「examp1e.jp」のような本物に似た文字列のドメイン名を取得し、フィッシングサイトを作ります。ドメイン認証型のSSL証明書は、ドメイン名の所有者・使用権を確認できれば発行できるので、このような「本物っぽいドメイン名」を使ったフィッシングサイトにおいては、SSL化されて鍵アイコンがあるからといって安全とは言えません。OV/EV証明書はどうでしょうか?SSL証明書の取得時に登記簿謄本や電話による実在確認が行われるため、身元がある程度保証されたSSL証明書としては有効です。最近ではブラウザ側のデザインに変更があり、EV証明書の組織名がアドレスバーから見えなくなったブラウザも増えています。Chromeブラウザでは、以下のようにEV証明書で1クリック、OV証明書で4クリックしないと組織名を見ることができませんが、サイト運営者の情報を確認するのは非常に有効な手段です。利用するサイトに個人情報などを入力する場合は「組織認証型のSSL証明書が使われているか?」をぜひ確認してみましょう。※EV証明書は鍵アイコンをクリックすることで発行先組織名が確認できます。※OV証明書は鍵アイコン⇒証明書⇒詳細⇒サブジェクトの順にクリックすることでドメイン名と発行先組織を確認できます。似たような組織名の会社を作って組織認証型のSSL証明書を取得することが可能であるため、OV/EV証明書であれば絶対安全というわけでもありません。偽の組織を設立する必要がある、ということと、組織認証型のSSL証明書は4万円~と高価なことから犯罪に利用するハードルは非常に高くなります。一部では「緑のアドレスバーが表示されていれば安全」という見分け方を推奨している場合もありますが、そもそも最近の主要ブラウザでは、多くのものでアドレスバーが緑色になりません。鍵アイコンがついていたら安心、アドレスバーが緑色なら安心、という考え方は正しくありません。「.comや.jpなどのトップレベルドメインが『正規』のもので、フィッシングサイトを見分けるのに効果がある!」といった内容が流れたそうですが、「.com」や「.jp」は誰でも取得出来るドメインであるため、絶対に指標にしてはいけません。※「.jp」ドメインは日本国内に住所を持つ個人・団体・組織であれば誰でも取得可能です。属性型JPドメインは、取得時に登記簿謄本や印鑑証明書などの提出が必要になるため、フィッシングサイトに利用されることは殆ど無いと思われますが、悪意を持った人が書類を偽造することもできるので、絶対に安心とは言い切れません。トップレベルドメインだけでフィッシングサイトを見分けることはできない、ということを覚えておきましょう。回避できないフィッシング被害も正規サイトの編集権限が悪意のある第三者によって奪われてしまいコンテンツが書き換えられた場合、ドメインは本物、見た目も本物、というフィッシングサイトが完成してしまいます。なってしまうと、このサイトはドメインもSSL証明書も本物なので見分けようがありません。ウィルス対策ソフトのブラックリストも効果がありませんし、EV証明書も正規のものなので検証の仕様がありません。実際にECサイトが改ざんされてしまい、偽の決済画面へ誘導される事案が発生したケースもあります。サイト運営者の方は、利用者のプライバシーを守るため、そして中間者攻撃を防ぐためにSSL化は必須ですが、同時にサイトの編集権限に関するアカウントパスワードの取り扱いについても注意する必要があります。さくらのレンタルサーバでWordPressサイトを運営している場合、WordPressのパスワードはもちろん、レンタルサーバーのアカウントパスワード、さくらインターネットの会員パスワード、どれか1つでも流出するとサイトの改ざんが可能になってしまいます。最近ではレンタルサーバーのアカウントパスワードを盗もうとするフィッシングメールも確認されています。これらのパスワードは十分強力、且つ他サイトでパスワードを流用しないことが大切です。メールのリンクをクリックしないフィッシングの一般的な手口として、偽メール/SMS/DMによって偽サイトへ誘導されるパターンがあります。この場合、メールのリンクをクリックしないことで、フィッシング被害を回避できる可能性が高まります。普段からブラウザのブックマークに正しいURLを登録しておき、メールが来てもブックマークからアクセスすることで、不用意にフィッシングメールに引っかかる可能性を減らすことができます。「あなたのアカウントがロックされました!」といった普段見慣れないメールが届いた場合は、リンク先にアクセスしないことが重要ですが、そもそも怪しくないメールを送ってくるのがフィッシング詐欺です。普段からメール内のリンクはすぐにクリックしない癖をつけておく必要があります。「送信元メールアドレスを確認する」という方法を紹介しているサイトもありますが、送信元のメールアドレスは偽装が可能であるため、あまり有効な確認方法とはいえません。電子署名が添付されて無い限り、送信元メールアドレスは保証されませんので注意しましょう。ドメイン名を確認する銀行など金融機関の場合、パンフレットやキャッシュカードにサイトのドメイン名が書いてある場合があるので、アクセスした際にはそれと見比べるのも効果的です。サイト運営者の方は、普段から自サイトのドメイン名をWebサイト以外の場所に掲載しておくことも大切です。ドメイン名の確認時にはSSL証明書の組織名も確認しておきましょう。サイト運営者の方は最低限サイトをSSL化しておくのも非常に大切です。金銭や個人情報を扱うサイトの場合、組織認証型のSSL証明書を取得することも検討してください。OS)やブラウザ(ChromeやFirefox)はできるだけ最新版、最低でもサポート対象内のバージョンを利用しましょう。サポートが切れている場合、セキュリティ対策がされておらず脆弱性を利用されて、より深刻な攻撃を受ける可能性があります。自分のPCが攻撃を受けるとhostsファイルの書き換えやDNSの書き換えなどが可能になるため、よりフィッシングサイトを見分けにくくなります。本物のサイトが改ざんされている可能性があることを覚えておく本物のサイト自体が改ざんされると利用者側が注意しても防げない場合があります。防ぎようのないフィッシングが存在することも覚えておきましょう。フィッシング回避に絶対はない今回はフィッシングとSSL証明書の関係から被害の防ぎ方までをご紹介しました。フィッシングについては、「これさえやっておけば何も考えなくても絶対に大丈夫!」といった安直な対応方法はありません。普段からこういった犯罪の方法があるということを理解しておくことが重要です。銀行や通販サイトなど金銭のやり取りが発生するサイト場合は、十分に注意してパスワードやクレジットカード番号を入力するようにしましょう。こちらの記事もあわせておすすめ!本コラムでもご紹介した無料SSL証明書は、コストが掛からないためフィッシングサイトに使われることも多いですが、もちろん悪いものではありません。内閣サイバーセキュリティセンターが作成した「インターネットの安全・安心ハンドブック」という書籍も無料で配布されています。フィッシング以外にもインターネットを利用する上で大切なことが書かれていますので参考にしてみてください。「保護されていません/保護されていない通信」とはSSL証明書のブランドによる違いよくあるご質問さくらのSSLに関するよくある質問をご紹介します。さくらのSSLコラムSSLに関する役立つ知識や情報をコラムでご紹介します。サーバー設定代行CSRの作成からサーバーの設定もさくらにおまかせできます。ご利用の流れお申し込みの基本的な流れについてご説明します。