Cyber Academy （フィッシング詐欺）

これは説明するまでもないことですが、自分が個人情報を入力しようとしているページが正規の会社のものかどうかを、アドレスバーに表示されているURLで確認をするということです。以前はネットバンキングのログイン画面にはアドレスバーが表示されないことが一般的でしたが、最近はフィッシング対策の一環としてアドレスバーを表示するサイトがほとんどとなりましたので、まずはこの方法で確認を心がけてください。ただし、URLが正しいかどうかを見分けるためには当然のことながら正規のドメインを知っておかなければなりません。この点で一つ注意すべき事は、詐欺師が正規のドメインに酷似した偽のドメインを取得してくる可能性があると言うことです。例えば東京三菱銀行ダイレクトの正規のドメインはdirect02.btm.co.jpですが、もしもこれがdirect02.dtm.co.jpとかdirect02.dtm.jpとなっていたとしても、よほど注意して見なければ気がつきませんね。そういうことです。

なお、最近はJavaScriptを用いてアドレスバーを偽装するタイプが広まりつつあるので、この方法はあくまで気休めに過ぎません。また一部のサイトでは、ログインのページにそもそもアドレスバーを表示していないところがあります。その場合は次の（２）の方法でフォームの送信先を確認してください。

（２）フォームの送信先の確認（効果大）

どんなに高度な方法で偽装した偽サイトでも、基本的にページのソースまで偽装することは出来ません。特に詐欺師にとって最も重要なことは個人情報を自分が受け取ることにあるので、フォームの送信先だけは必ず詐欺師が用意したサーバーのアドレスに書き換えられています。送信先が正規のアドレスだったならそれはフィッシングの用をなしません。そこでこのフォームの送信先を確認することが実は最も確実な防御策なのです。

フォームの画面上でマウスを右クリックして、「ソースの表示」を選択して下さい。すると画面 �Aのようなソースが表示されます。このソースの中からフォームの送信先として指定されているURLを見ることで偽物と本物を見分けることが可能です。見るべき箇所はずばり<FORM ACTION="URL">のURLです。それ以外は見ても意味がありません。


�@ページのソースを表示する ※フレームの場合は必ずフレームのソースを表示	�A<FORM ACTION="URL">のURLを確認

ただしここでも一つ注意が必要です。それはダミーのフォームタグに気をつけると言うことです。何故なら皆さんがフォームの送信先を調べる際には、ソースを表示させた上で「ACTION」の文字列があるところを探すことになると思いますが、もしかしたら詐欺師はそれを見越して、あらかじめ正規のフォームタグをコメントタグで記述しておき、それとは別に行を離して、偽サイトのURLを記述したフォームタグを記述しておくことも想定されるからです。（下図参照）

<!FORM NAME="FRM_lginInputId" ACTION="https://正規のドメイン/***" METHOD="POST">

↑ダミーで、コメントタグ（！）付きのフォームタグを記述しておく

↑こちらが実際の送信先URLを記述したフォームタグ

（３） SSL認証発行先の確認（効果中）

これはある意味最も簡単な判別法です。ログインのページの多くはSSLで暗号化をしていますので、そのSSLの認証発行先を確認することによって真偽を見分けることが可能です。しかしながらすでにこの方法も万全ではなくなりました。 Yahoo!Japanの偽サイトは、本物のYahoo!Japanのフレーム内部に偽ページを表示させる方法を採っていましたので、訪問者がSSLの鍵アイコンをクリックした場合には本物のYahoo!Japanのフレームに表示されている鍵アイコンをクリックすることになっていたからです。

（windowsの場合）
画面右下の鍵のアイコンをダブルクリックして、表示される認証発行先のドメインを確認

（Macintoshの場合）
はじめからステータスバーに発行先ドメインが表示されている

5.フィッシング手口の巧妙化

これまでご紹介したようにフィッシングの手口は非常に巧妙化しており、次々と新しい技法が生み出されています。これまでのところ把握している手口は以下のようなものです。

JavaScriptを使ってアドレス・バーを偽装する（CITI BANK、VISA認証サービスの事案）
JavaScriptやフレームを使ってアドレス・バーやステータス・バー、SSLの錠マークなどを偽装し、ページの中身にだけ偽サイトのページ（フレーム）を表示させる仕組み（Yahoo!Japanの事案）
サーバー側のクロスサイトスクリプティング（XSS）脆弱性を突いて正規のサイト内に偽の画面を表示させる。（Yahoo!Japan、Citibank Australia、SunTrust Banks等）

今後も新たな手口が登場すると予想されますので、消費者としては何を信用すればよいのか分からなくなりそうだと思うかも知れません。しかし前提として申し上げておきますが、フィッシングとは偽のサイトへ誘導させて情報を盗み出すものです。そしてその偽のサイトへ誘導する手段として必ず電子メールで何らかの通知をしてきます。どんなに巧妙な仕掛けを用いたとしても、消費者が自分で直接URLを打ち込んだ場合にまで偽のサイトへ誘導する事は出来ません。ですから、いかなる場合にも電子メールに記載されているリンクをクリックしないように心がけておけば偽サイトへ誘導される事はないわけです。

ただしブックマークは将来的にも安全とは断言できません。今後、ブックマークの内容を変更するタイプのプログラムが開発されてフィッシングに利用されるかも知れないからです。しかもそのようなプログラムはActiveコントロールを使うことで強制的に消費者のコンピューターへインストールすることも可能ですので、気づかないうちにブックマークの内容が変更される危険性があります。従って、ブックマークからアクセスする場合でも念のため、前記の方法によって正規のサイトかどうかの確認をすることをおすすめします。

どうしても自分に自身がもてない人はソフトウェアなどを利用するのも一つの方法でしょう。

Netcraft、フィッシング詐欺対策ツールバー

フィッシング詐欺サイトデータベースに登録済みのサイトやページにアクセスすると、疑わしいサイトにいることを警告するポップアップを表示する。また、ポップアップウインドウで故意に隠すことが多い標準のツールバーやアドレスバーなどを強制的に表示する機能や、見誤らせる文字を含む疑わしい URL をトラップする機能も備える。

NetCraft Toolbar
http://news.netcraft.com/