フィッシング詐欺 ( ネットサービス ) - 記事つっこみ

フィッシング詐欺

　　　　　　　　　　　　　　　　　　　　フ　ィ　ッ　シ　ン　グ　　　　　　　　　　　　　　　　　　　　

フィッシングとは、金融機関（銀行やクレジットカード会社）などを装った電子メールを送り、住所、氏名、銀行口座番号、クレジットカード番号などの個人情報を詐取する行為のことをいいます。近年は、金融機関に限らず、オークションサイトなど、ID とパスワードを必要とするサービスを装った事例も確認されています。ログインする際は、接続しているサイトが正しいか確認してください。
　なお、本人確認などの問い合わせがメールで届いた場合、メールに記載されているリンクを安易にクリックせず、送信元に電話するなどの手段で真偽を確認するようにしましょう

フィッシング実情

［フィッシング詐欺検出機能］の自動検出が有効だと、あるWEBサイトにアクセスした際、そのサイトがフィッシング詐欺の可能性があるかどうかを［インターネットエクスプローラー7］が自動的に判別します。問題がなければサイトがそのまま表示され、その可能性がある場合には警告が表示されます。（ただし、フィッシング詐欺サイト検出機能は100％の正確さを保証するものではありません）

<図１>

これは、2004年11月に見つかった、あるカード会社を装ったフィッシングメールと偽のWebサイトです。
これ以前は、米国などの英語圏をターゲットとした英語の文面だったのですが、この時より、日本をターゲットとした日本語メールが確認されるようになりました。最初はまだ、機械翻訳したような日本語でしたが、2005年に見つかっている国内銀行を装ったメールなどは、一般的な日本語のメールも出てきているので、騙されないよう注意が必要です。
＊国内での被害も発生しており、金融機関では様々な注意喚起を行っています。

またｋのことは「タイポスクワッティング」＝Typo（タイプミス）とSquatting（占有）を組み合わせた造語で、有名サイトに類似したドメインを取得し、URLを直接入力するユーザのタイプミスを狙い、偽サイトへ誘導する手口のことです。
http://www.antiphishing.jp/report-phishing-mail.html
.

タイポスクワッティング・サイト
（正）www.aaaa.com
（偽）wwwaaaa.com ［例えば、悪意を持つ人が、www のドットが抜けているサイトを用意

フィッシング対策の心得

慌てないで対応しましょう
中には紛らわしいサイト名にしているものもありますが、慌てないことが大切です。
メールの送信者欄（Fromアドレス）は偽装できます。なりすましメールに注意しましょう。
手口は巧妙化していますが、必要ならば、フィッシング対策ソフトなどの導入も検討しましょう。
メール中のリンクからアクセスするのではなく、お気に入りに登録したアドレスからホームページを見るようにしましょう。


そもそもカード番号や暗証番号を入力するような	依頼がメールでくる	なんて事はありません

もしそのようなメールが金融機関等から届いた場合は、送信元に電話で問い合わせたり、ホームページのお知らせ欄を見たりして、その情報（メール）の真偽を確認するようにしましょう。

ユーザが出来る対策として、重要な情報を入力する際は実際にアクセスしているサイトを確認するために、ブラウザのSSLの鍵マークを確認しましょう。偽サイトであれば、通信は暗号化されていないケースがほとんどです。
鍵マークをダブルクリックすると、その証明書の内容が表示され、本当にアクセスしているURLをチェックすることができます。

電子証明書

例えば、www.ipa.go.jp/ へアクセスしていれば、サイト名が //www.ipa.go.jp/ と表示されているはずです。
また、自分で発行している電子証明書ではなく、信頼のおける機関が発行している電子証明書であることも見極めるポイントです

それで、電子証明書に含まれる代表的な情報ｈ以下のとおりです

１　電子証明書が発行されたWebサイトのホスト名
２　認証局の名前
３　電子証明書の有効期限
４　Webサイトを運営する組織名
５　運営する組織の所在地

　基本的に、電子証明書の検証はWebブラウザが自動的に行い、検証される項目は以下の通りである。

１　アクセスしているURLと証明書に書かれたURLは一致するか？
２　証明書の有効期限は切れていないか？
３　発行元の認証局は信頼できるか？
　
　これらの項目に問題がなければ、Webブラウザは警告が出ません。

　ここで注意が必要となるのが、フィッシャーが正規のサイトと紛らわしいドメインを取得して偽サイトを作り、そのサイトに対して電子証明書を取得した場合だ。この場合、電子証明書自体には問題はないため、Webブラウザは警告を出さない為、Webブラウザが検証するのはあくまで「Webサイトのホスト名」「証明書の期限」「認証局の信頼」であり、「このWebサイトが本物である」ということを保証出来ていない、今後に期待したい。

▼フィッシング対策関連はここ

▼フィッシング検出機能動画