@nifty トップ  > 会員向けサービス  > セキュリティ@nifty  > セキュリティ特集記事  > ニフティ伊藤求のセキュリティ・スコープ  > 第6回 メールの中身にツッコミを入れてみる
セキュリティ特集記事 伊藤求のセキュリティ・スコープ

第6回 メールの中身にツッコミを入れてみる

2008年2月27日

1月下旬から2月初めにかけて、前回のコラムで追記した弊社お客様を狙ったフィッシングサイトに関するTake down(サイト閉鎖)対応に追われていました。Take downにご協力いただいた関係者のみなさん、とりわけ海外への連絡に尽力下さったJPCERT/CCの担当者に深く御礼申し上げます。

迷惑メールは万病の元!

迷惑メールは「Unsolicited Commercial Email(頼まれもしない、広告メール)」という表現があるように、内容はともかく広告に使われたものでしたが、現在では「罠」に誘い込むための「撒き餌」の性格をも持っています。ウイルス添付、フィッシング、アクセスするだけでウイルスに感染する偽装サイトやワンクリック詐欺サイトへの誘導など、PC を攻撃するためのツールが満載です。最近では、Adobe Readerなどの脆弱性を狙ったコードを組み込んだPDFファイルをメール添付し、ボットウイルスに感染させるという手法も流行しました。「風邪は万病の元」と言いますが、迷惑メールはPCにとっても万病(トラブル)の元なのです。


迷惑メールに隠された罠

悪意を持った人がメールを使った攻撃を行う場合、そのメール文中にあるURL(アドレス)をクリックしてもらうためのさまざまな「罠」が仕掛けられていますから注意が必要です。古くは「儲かる」とか「寄付をお願いします。」といったものでしたが、最近ではターゲット攻撃とよばれる、特定の属性を持った人をねらい撃ちするタイプが増加しています。ここでの属性とは、職業や趣味などを指し、所属会社なども標的になります。

さらに、この属性を絞ったターゲット攻撃には、ユーザを「焦らせる」ことによってより適切な判断を狂わせようとする罠も潜んでいます。

例えば…

あなたはオンラインゲームが趣味で、実際にいくつかのオンラインゲーム用のアカウントを持っています。さらに、ゲーム会社やゲーム関係のサイトのメールマガジンにも登録しています。
ある日、そんなメールマガジンの一つから「新作ゲーム先行予約開始!旧バージョンのユーザは24時間以内にアクセスして登録すれば、新作用のアカウントを発行します。」という案内メールがありました。あなたは、前日オンラインニュースで新作ゲームの記者発表の記事が出ていたのを思い出したので、慌ててメール文中のURL(アドレス)にアクセスしオンラインゲーム用のID、パスワードやメールアドレスを入力しました。
次の日から、迷惑メールが増加したり、ゲームのアイテムが勝手に売られていたり、と不思議なことが起こり始めました。

といった攻撃シナリオも起こりえます。 事実、前述の弊社お客様向けフィッシングでも、「24時間以内にパスワードを入力してください。」といったユーザを焦らせる台詞が入っていましたし、携帯電話向けでも同様の事例が報告されています。


図)弊社を狙ったフィッシングの例
弊社を狙ったフィッシングサイト(画像)

メールの中身にはツッコミを入れてみる!

このように悪意を持った人は、興味を持たせて焦らせることによって、攻撃用のメールを読ませようとします

この攻撃から身を守るためには

などは必須ですが、

メールの中身を容易に信用しない!という心構え

が重要です。

興味のあること、時間がないことで正常な判断が狂わないよう、メールに冷静なツッコミを入れる練習をしてみるのも悪くありませんね(笑)


■参考
  • ・ Internet Explorer 7
    (フィッシング詐欺防止などが以前のバージョンと比べて向上したブラウザー)
  • ・ McAfee SiteAdvisor
    (フィッシング防止機能を備えたWebブラウザ用プラグイン 無料版あり)

プロフィール:伊藤求(いとうもとむ)

ニフティ株式会社所属。神戸大学学術情報基盤センター助手から有限責任中間法人 JPCERTコーディネーションセンター運用グループマネージャを経て現職。安心・安全なインターネットのため、少しでも社会貢献できないかと考え、コラムで情報発信をしています。

趣味はコンピューターセキュリティ最新動向のチェイシング。現在 ボットネットとも格闘中(笑)