 |
 |
記事検索 |
イベントレポート |
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
海外で深刻化するフィッシング詐欺、日本でも予防が急務～警察庁・伊貝氏 |
||||||||||
|
||||||||||
|
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
伊貝氏はまずフィッシング詐欺の現状として、海外では2003年頃から発生が確認されていたものの国内では発生が遅く、これまでは警察庁でも海外の事例の分析を中心に行なってきたと説明。しかし、2004年には日本でも具体的なフィッシング詐欺の事例が確認され、今後の深刻化に備えて対策を検討しているという。 フィッシング詐欺は、当初は「www.xxxbank.com」といった正規のドメイン名に対して、「www.xxxbank.net」といった類似ドメイン名を取得して偽のWebサイトを構築するといった、ある意味で稚拙な手口から始まったという。しかしその後、「http://（正規のサイト名）:CGI@x.x.x.x」といったIDとパスワード付きURL（実際にアクセスするのは「@」以下のサイト）や、URLに特殊文字「%01」を含めることでステータスバーに正しいURLを表示させないといった手口が続々と登場。クリッカブルマップで画像全体にURLを指定すると内側の領域のリンク先が正しくステータスバーに表示されない問題や、偽サイトへのリダイレクトを行なうようなパラメータをCGIに渡すクロスサイトスクリプティングなど、あらゆる脆弱性が利用されつつあるという。 被害の現状としては、米国では2004年1月に176件だった発生件数が、5月には1,197件に増加。被害総額は2004年4月までで24億ドルに上り、被害者数も2003年中で198万人に達したという調査結果が紹介された。また、英国でも2003年中の銀行の被害額が5,000万ポンドとなり、オーストラリアでもフィッシング詐欺発生から1週間で1銀行あたり1,000万豪ドルの被害となるなど、各国で被害が深刻化している。 フィッシング詐欺は不正アクセスやウイルスなど他の不正行為との関係も指摘されており、最近の例では金融機関のWebサイトへのアクセス中にキー入力と画面ショットを記録し、特定のサイトへの送信を試みるトロイの木馬型ウイルスが確認されるている。また、英国ではオンライン賭博サイトにDDoS攻撃を仕掛け、その後に「今後攻撃されたくなければ金を口座に振り込め」といった脅迫が行なわれたケースなどもあり、技術的な知識のあるグループが詐欺に加担していることが推測される事例も増えているという。 こうした詐欺が相次ぐ背景として伊貝氏は、Webサイトやメールの認証手段の欠如や、貧弱な個人認証手段、シェアの高いWebブラウザやメールソフトに相次いで発見される脆弱性などを挙げた。また、ウイルスに感染した結果として攻撃の踏み台となってしまったPC、いわゆる「ゾンビクラスター」の存在も大きいとして、フィッシング詐欺メールの発信に利用されるだけでなく、偽サイトのWebサーバーとして利用されるケースも多くなっているとした。 フィッシング詐欺の多くは企業のWebサイトそのものではなく偽のWebサイトを利用するため、顧客からの通報があって初めて発覚する。そのため、確認した時点ではすでにサイトは閉鎖されているなど追跡が困難である場合が多いという。また、各国の捜査機関の追跡により、東欧やロシアなどの国際犯罪組織が関与していることが判明したケースも多く、国際的な捜査の連携も今後の重要な課題であるとした。 各国の対応としては、法律面では米国で個人認証情報の詐欺目的所持を可罰化するフィッシング対策法が成立するなど、金銭的な被害が発生する前段階の行為も処罰できる法制度の検討が進められている。また、金融機関では認証手段の高度化や、セキュリティ企業によるフィッシング詐欺の発生検知サービスの提供、プロバイダー側では偽サイトの迅速な閉鎖に向けた対策が検討されているという。 日本の現状としては、フィッシング詐欺のメールが発生したことを公表している企業は現在のところ4社で、うち1社では実際に被害が発生したことが確認され、すでに捜査を開始しているという。フィッシング詐欺は脆弱性を悪用するといった技術的な知識だけでなく、ユーザーを偽サイトに誘導する文言が必要となることから、これまでは言葉の壁の問題が大きく、主に英語圏での被害が大きくなったと考えられている。このため、現状では国内においては予防や抑止対策が中心となるとした。 伊貝氏は最後に余談として、国内の大手旅行会社から届いたメールを紹介した。メールを開くとユーザー名やパスワードの入力欄のある画面が表示され、「これは新手のフィッシング詐欺かと思ったところ、ソースを調べてみると本物のメールだった」という。企業側のフィッシング詐欺に対する意識はまだ低いのではないかとして、ユーザーとともに企業に対してもフィッシング詐欺に対する啓発を行なっていきたいと語った。 関連情報 ■URL Internet Week 2004 http://internetweek.jp/ @police http://www.cyberpolice.go.jp/ ■関連記事 ・ 一見すると本物のサイト、Yahoo! JAPANを騙るフィッシングが悪質化（2004/11/17） ・ VISAカードの暗証番号を入力させようとする日本語フィッシングメール出現（2004/11/09）
（ 三柳英樹 ）
- ページの先頭へ-
|
