脅威情報ネットの安全セキュリティ用語HOMEネットの安全フィッシング詐欺とは?これで安心!詐欺を見抜くコツと対策のすべてフィッシング詐欺とは?これで安心!詐欺を見抜くコツと対策のすべてTweetPocketネットの安全2018.2.27「フィッシングに注意」と良く言われますが、フィッシングとは詐欺の手口のひとつ。現実の生活でも詐欺まがいの手口が多いですが、インターネット上でもユーザーを巧妙に誘導する詐欺が非常に多くあります。うっかり騙されてしまうと、クレジットカード情報など大切な情報を盗まれ、それを悪用されてしまいます。ここでは、フィッシングの手口、対策方法を紹介していきます。フィッシング詐欺とはフィッシングとは、インターネットの世界で行われる詐欺の一種で、正規のサービスなどのふりをしたメールで偽のWebサイト(フィッシングサイト)に誘導させ、クレジットカード情報やログイン情報(IDとパスワードなど)を盗み出す行為です。エサで魚を釣るようにユーザーを詐欺サイトに誘導することからフィッシングと呼ばれますが、そのスペルは「fishing」ではなく「phishing」と表記します。クレジットカード情報もログイン情報も、ともにインターネットの世界で「身分証明書」となる重要なものです。クレジットカード情報があれば、本人になりすまして様々なオンラインショップで買い物ができますし、有料サービスへの登録もできます。ログイン情報も第三者の手に渡れば、サービスを自由に利用されてしまいますし、ログインパスワードを変えられてしまったら、もはやサービスを解約することもできなくなります。フィッシング詐欺の手口フィッシングの目的は、クレジットカード情報やログイン情報といった、ユーザーが持つ重要な情報の搾取です。した情報は闇市場で販売できるので、より多くの情報を盗むために不特定多数を標的とします。特定の個人や企業が持つ情報を標的としたフィッシングもあり、これは「スピアフィッシング」と呼ばれます。この場合は、より巧妙な手口を使用します。フィッシングの多くは「フィッシングメール」と呼ばれるメールを使用しますが、最近ではスマートフォンのメールに特化したものや、SNS(ソーシャルネットワークサービス)のメッセージ機能を悪用したり、色々な人が書き込みを行える掲示板サービスを悪用するケースもあります。インターネット上の様々な場所にワナが仕掛けられているのです。フィッシングでは、何とかしてユーザーをフィッシングサイトに誘導しようとします。誘導するフィッシングサイトは、銀行やクレジットカード会社、オンラインゲームなどのオンラインサービスがその多くを占めます。アクセスしないといけないと思わせるような、人間の心理を利用する文面が使われます。具体的な例を見ていきましょう。・新たなセキュリティ対策を導入したと連絡が来る「情報漏えい事件が多発していることから、新たなセキュリティ対策を導入しました」として、設定を有効にするためにリンクからログインするよう促すものです。「二要素認証を導入した」など、具体的な名称を使用するケースもあります。フィッシングに関するニュース・パスワードが簡単すぎると指摘される「システムのテストにより、あなたのアカウントのパスワードは簡単すぎ、安全面で問題がある」として、パスワードを変更するためにリンクからログインするよう促すものです。サービス側が、すでに利用しているユーザーに対してパスワードの強度を調べることはありません。・第三者によるアクセスが確認されたと連絡が来る「当サービスに第三者によるアクセスを確認したため、お客様の登録IDを暫定的に変更した」として、リンクをクリックしてパスワードを再設定させようとするものです。パスワードを暫定的に変更したのに、リンク先でIDとパスワードを入力させようとするので、冷静に考えればおかしいことです。フィッシングに関するニュース・アカウント情報に誤りがあると指摘される「アカウントの登録情報に誤りがある」として、登録情報を変更するためにリンクからログインするよう促すものです。「24時間以内に変更しないとアカウントがロックされる」と脅すケースも確認されています。登録情報の何が誤りなのか、具体的に書かれていないことがポイントです。フィッシングに関するニュース・プロダクトキーが第三者に利用されていると連絡が来るマイクロソフトの「Office」を使用するために必要な「プロダクトキー」が、第三者に使用されている可能性があるとして、「検証作業」のためにリンクからログインさせようとするものです。このケースも「24時間以内にログインしないとプロダクトキーの権利がなくなる」として、ユーザーの不安感をあおります。メールを装うショッピングサイトで商品を購入した際に送信される「購入確認」のメールを騙るものです。実際の購入確認メールと同様にHTMLメールで送られてきます。受け取ったユーザーは「心当たりがない」として「キャンセルはこちらから」というリンクをクリックしてしまいます。ユーザーの心理を突いたケースといえます。本物そっくりのサイトに誘導フィッシングメールのリンクをクリックすると、本物とまったく同じサイトが表示されます。これは、サイバー犯罪者向けに提供されている、Webページを丸ごとコピーできるツールを使用しているためです。そのため、見た目は本物のWebページとまったく同じです(入力項目が増えているケースもあります)。そのWebページがあるのは本物のWebサイト(Webサーバ)ではなく、サイバー犯罪者が用意したWebサイトにあるのです。そのため、フィッシングサイト上で入力した内容は、サイバー犯罪者の手に渡ってしまいます。フィッシング「メール」を見抜くためのポイントフィッシングは、「このままではサービスが利用できなくなる」あるいは「このままではお金を支払わされる」などと思い込ませることでユーザーを動揺させ、リンクをクリックさせて重要な情報を盗み出そうとします。落ち着いて冷静になることが大事です。不安を感じたときには、次のポイントを確認してみましょう。本当に、あなた宛のメールですか?設定変更が必要になるような重要なメールが届いたら、まずはメールの宛先や件名、本文に自分の氏名があるかどうかを確認しましょう。通常、サービス側から設定変更などを求めるメールには、ユーザーの氏名や会員番号などが記載されます。重要なメールなのに、それらの記載がない場合は怪しいメールと考えられます。フィッシングを行うサイバー犯罪者は、メールアドレスしか知らないことがほとんどだからです。送信元を確認しましょうメールの「送信者」の表示は、実は自由に書き換えることができます。そのため、送信者のメールアドレスが正しいからといって信じてしまうのは禁物です。パソコンの場合は、メールのヘッダ情報(受信したメールがどこからどのような経路で送信されたかを記録する情報)を確認することで、ある程度メールの信頼性をチェックできます。メールソフトからヘッダ情報を開きますが、実はほとんどの項目が偽装できます。「Received」の項目が異常に多い場合や、項目のURLにカッコがついている場合は、偽装の可能性が高いといえます。メールに入力エリアがあるものは無視しましょうサービス側からのメールは、利便性を意識してかHTMLメールが増えています。フィッシングメールにもHTMLメールが多くありますが、IDやパスワードなどの入力エリアがメールに表示される場合は、フィッシングを疑うべきでしょう。銀行やクレジットカード会社からのメールでは、入力エリアが表示されることはありません。同じ情報があるか、Webサイトで確認しましょうパスワードの変更や購入確認などのメールが届いたときは、メールのリンクからではなく、Webブラウザのブックマーク(お気に入り)からWebサイトにアクセスし、同じ情報が掲載されているかどうか確認しましょう。購入履歴も同様にブックマークからWebサイトを開き、そこからログインして履歴を確認します。重要な情報であれば、メールで告知するだけでなく、Webページも告知しているはずです。リンク先のURLアドレスを確認しましょういちいちブックマークからWebサイトにアクセスするのが面倒という場合には、リンク先のURLアドレスを確認してみましょう。リンクされている部分にマウスカーソルを合わせれば、リンク先のURLアドレスが表示されますし、右クリックしてメニューから「プロパティ」を選ぶことでも確認できます。この場合、一見すると正しいURLアドレスのようでも、よく見ると文字が違っていることがあります。日本語におかしいところはないですか?数年前は日本語のフィッシングメールは少なく、確認されてもひどい日本語で、すぐに怪しいと気づくことができました。最近は日本語が上手になり、かなり違和感がなくなっています。それでも全体で見ると文章のつながりがおかしい部分があるので、そのような場合はフィッシングを疑いましょう。フィッシング「サイト」を見抜くためのポイントIDやパスワードなどの情報を盗み出すことだけが目的のフィッシングの場合は、リンクをクリックしても問題はありません。ウイルスに感染させるようなWebサイトにリンクされていることもありますので、注意が必要です。入力項目を確認しましょうフィッシングサイトは正しいサイトとまったく同じ内容が表示されますが、銀行やクレジットカード会社のフィッシングサイトでは、本来はないはずの「第2パスワード」や「秘密の質問」「乱数表」なども入力させるようになっていたりします。した項目があれば、フィッシングサイトと判断できます。暗号化通信になっているかを確認しましょうIDとパスワードのみを入力するWebサイトでは、アドレスバーに鍵のマークがあるかどうかを確認します。鍵のマークは、通信が暗号化されているという意味で、SSL/TLS化やHTTPS化と呼ばれます。最近では無料でSSL/TLS化することもできるため、必ずしも安全とは限りません。鍵のマークをクリックして「証明書の表示」を選び、ドメイン名が正しいかを確認しましょう。URL詐称を見破るフィッシングサイトの中には、ホームページの表示画面に画像を貼り付けることで、あたかも正しいURLアドレスが表示されているかのように見せかける手口も確認されています。このようなときは、ページを「新しいウィンドウで開く」で開き、ウィンドウを重ねてみましょう。画像を貼り付けている場合はURLアドレス部分が浮いて見えます。引っかかってしまったときにはフィッシングと気づかずにIDやパスワードなどを入力してしまった場合は、まずはサービス側に連絡をしましょう。場合、ログイン情報を入力しても設定変更などのページが表示されないことで気づくことになりますが、気づいたらなるべく早く連絡することが大事です。銀行やクレジットカードなど金融機関の場合は、金融犯罪に遭ってしまった場合の連絡先が用意されています。全国銀行協会(全銀協)のWebサイトで調べることができます(「金融犯罪に遭った場合のご相談・連絡先」)。金融機関に届け出ることで、オンラインバンキングやクレジットカードの一時停止、ログイン情報の変更、補償についての相談などが行えます。SNSやオンラインゲームサービスなどで、フィッシングサイトにIDとパスワードを入力してしまった場合には、正しいサイトでログインし、パスワードを変更しましょう。パスワードを変更されていた場合には、「パスワードを忘れた場合」から再発行を行いましょう。フィッシング対策協議会に情報提供することも検討しましょう。まとめLINEやSkype、Slackなどといったメッセンジャーベースのコミュニケーションアプリの利用が増えていますが、メールはまだまだなくならない重要なツールといえます。そのため、今後もフィッシングメールは送りつけられてくるでしょうし、他のコミュニケーションアプリへのフィッシングも増えてくると思われます。フィッシングは、システムで守れる部分と、人が判断するしかない部分があります。ここではまとめとして、フィッシングに引っかからないために注意すべき点を挙げていきます。何よりもあわてず、冷静にメールを読み解きましょう。1:セキュリティ対策ソフトを導入する単なるウイルス対策ソフトではなく、複数の機能を持つ総合セキュリティ対策ソフトを導入し、最新の状態に保ちます。2:メールの本文に自分の名前やIDが記載されているか確認する緊急性の高いメールであっても、本文に自分の名前やIDなどが書かれていない場合は、不特定多数に送られているフィッシングメールの可能性が高いといえます。3:メールと同じ情報があるかWebサイトで確認するログイン情報の変更など重要なことは、Webサイトにも同じ情報が記載されているはずです。ブックマークからサイトをチェックしましょう。4:通常、メールから直接ログインさせることはない特に金融系サービスでは、HTMLメールの本文にIDやパスワードの入力エリアがあるようなメールは、フィッシングと断定していいでしょう。5:フィッシングメールに返信しないどんなに不安にさせる内容であっても、フィッシングの疑いがあるときは返事してはいけません。6:SNSでは知り合いからのメッセージでも慎重に対応をSNSで、めったにメッセージのやり取りをしない相手からメッセージが届いたときは、乗っ取りの可能性もあるので慎重に対応しましょう。~クラウドの安全性の状況と実用的ガイダンスマカフィーでは、1,400人のIT担当者に年次アンケートを実施し、クラウド採用状況やセキュリティについて調査しました。調査の結果、クラウドの採用とリスク管理への投資を増やしている組織がある一方で、クラウドの採用に慎重なアプローチをしている組織が多いことがわかりました。本調査では、クラウドサービスの利用状況を分類し、短期投資の確認、変化速度の予測、重要なプライバシーおよびセキュリティ上の障害物への対応方法の概要を示しています。本レポートでは、クラウドの現状把握と今後の方向性、クラウド対応の課題やポイントを理解することができます。脅威情報ネットの安全セキュリティ。