2008年08月27日

本物のサイトにログインできてしまうフィッシング詐欺

最近はスパムやフィッシングがすごく巧妙になってきています。
少し前にもgoogleやmixiを装ったものがありました。

特に、偽サイト(本物と酷似している)でIDとパスワードを入力させ、ログインボタンを押したら入力された情報を盗んで収集してしまうタイプは本当に怖いです。

通常こういうタイプのものはログインボタンを押したら「パスワードが違います」とか適当なメッセージが表示されてログインできません。
なぜなら偽サイトですので。
よって、フィッシングにひっかかった場合は大抵ここで気づき、本物のサイトですぐにパスワードを変更したりすれば一応被害は回避できます。

でももし普通にログインできてしまったらフィッシングにひっかかったことに気付くタイミングがありませんよね・・・。

そんなことができてしまうフィッシング詐欺がもうあるそうなんです。




本物のサイトにログインできるフィッシング詐欺

この記事タイトルを読んだ時、正直ちょっと寒気がしました。

--- 引 用 ---
だがFaceTimeのセキュリティ研究者クリストファー・ボイド氏が新たに発見したフィッシングサイトでは、偽のログインページから正規のサイトにログインできてしまう。ログイン後、通常と同じように正規のサイトを利用できるため、フィッシングに遭ったことに気付きにくいと同氏は指摘している。
--- 引 用 ---

クリックして入る入口の偽装次第では気付きにくいどころか、まず気付かないですよ、これは。。

--- 引 用 ---
同氏は本物のHabbo Hotelサイトにログインしたが、パスワードなどの情報は盗まれた。「ログインしようとしたときから実際にログインしたときまで、通常の手続きに何の中断もなく、フィッシングに遭ったことを示す兆候はなかった」と同氏は語り、この手口が銀行サイトのフィッシングに利用されたら、ユーザーがフィッシング対策製品を使うことがさらに重要になるとしている。
--- 引 用 ---

正常にログインできてその後の処理も普通にできたけどログイン情報は盗まれている・・・
((((;゚Д゚)))ガクガクブルブル

ただ怖がっていても埒があかないので防御策を考えてみました。

1.セキュリティソフトに頼る。
2.サイトへの入口(クリック元)を注意する
3.ログインページのURLを注意して見る

今回のようなケースで1は正直どこまで出来るんでしょうね。。
ウイルスパターンファイルのように「フィッシングサイトURLリストのようなものを常に更新し続けてそのリスト内にあるURLを踏んだら警告を出す」くらいしか浮かびません。。

2と3はこれからのインターネットでは必須になるかもしれませんね。
2については、うまく偽装されていると気付かない場合もあるのでそれを見破る知識が必要になります。
3についてはURLが正規のURLと同じか確認するだけですので知識はいりませんが、その分1字違いなどに気付くような注意力が必要になります。

あとはサイト運営側に頑張ってもらうしかないですね。
リファラチェックを入れるとかPOSTする際hiddenの使い方に注意するとかクロスサイトスクリプティング対策とかSQLインジェクション対策とか、そういった最低限のセキュリティ対策くらいは必ずしてほしいです。
精巧なテクニックを使われたりDB構成を見破られたりしたら意味がないとしても、そうでない場合は防げる可能性が高いわけですから。

「技術の進歩は速い」と言われますが、インターネットの世界は善も悪も日進月歩どころの話ではありませんね。。

何かしら参考になりましたらクリックをよろしくお願いします
にほんブログ村 IT技術ブログへ   人気ブログランキング    
posted by トモヒロ | Comment(6) | TrackBack(0) | IT関連記事
この記事へのコメント
こんにちは。
 フィッシング詐欺 怖いですねぇ。
しらない間に私もかかっているかも、なんて考えてしまいます。
 フィッシング詐欺とは違いますが、今日も(新しく用意したサーバー)に、pear 入れようと、サイト上の情報方から、go-pear.php とろうとしたら
(そこに、go-pear.orgと記述)
※クリックできないようhttp:// はずしておきます)
そこは、すでに検索AdSenseサイトでした。
 なんか怖くなりすぐに閉じましたが・・・
 勝手にクッキー食わせたりするらしいし
気をつけたいものです。
Posted by metaboy at 2008年08月29日
>> metaboyさん
フィッシングは本当に怖いですね。
自分がひっかかるのも怖いですが、管轄内のサーバに入り込まれてフィッシングサイトを構築されてしまう場合もあるそうです。
これは自分が知らない間に犯罪者になってしまう可能性があるので、違う意味でもっと怖いです・・・。

go-pear.org・・・なんすかこれ。。
よく海外のサイトが404や403になっているときに飛ばされるページみたいですね^^;

クッキーの件はぶっちゃけこまめに自分でチェックするしかないですね。
私は昔からSpybotやAd-Aware使ってます。

Posted by トモヒロ at 2008年08月30日
はじめまして!ミミオといいます。
あし@からたどって伺いました。
スッゴク参考になりますというか怖いですホントに!
これからも勉強しに読みに伺いますので、よろしくお願いします。
Posted by ミミオ at 2008年09月02日
>> ミミオさん
はじめまして^^
コメントありがとうございます。
こちらこそよろしくお願いします m(_ _)m

ファーミング
でぐぐってみてください。

((((;゚Д゚)))ガクガクブルブル

Posted by トモヒロ at 2008年09月02日
こ…こわいですね。
友だちに、盗まれてもいないクレジットカードで詐欺にあった子と、
自分の携帯番号から親に振込め詐欺の電話がかかってきた子がいます。

おおこわ
Posted by 千石弥一 at 2008年09月07日
>> 千石弥一さん
コメントありがとうございます。
ネット上でなくても私の周りでもそういった事に遭遇した人が何人かいます。
運不運ももちろんありますが、経験談や対策方法を知っておいて損はないはずなので、こういう事には常にアンテナを張っておきたいものですね。
Posted by トモヒロ at 2008年09月07日
コメントを書く
お名前: [必須入力]

メールアドレス:

ホームページアドレス:

コメント: [必須入力]

認証コード: [必須入力]


※画像の中の文字を半角で入力してください。
この記事へのトラックバックURL
http://blog.seesaa.jp/tb/105494677

この記事へのトラックバック
×

この広告は1年以上新しい記事の投稿がないブログに表示されております。