2007年は中間者攻撃に要注意(1)本物のサイトと連動し、正しい情報の入力を求める
1月3日、『Washington Post』のSecurity Fixでブライアン・クレブズが今年初めてのフィッシング詐欺として、偽のAmazon.comのログインページを使ったケースについて報告している。
特集
特集
クレブズはこのサイトについては、ボランティアベースのウェブセキュリティとプライバシーに関するウェブサイトCastlecops.comのポール・ローダンスキーから情報を得たという。フィッシングのための最初の“餌”は、ユーザーに対して、権限なしのアクティビティ、つまり何者かが不正に使用しようとしていたと警告するe-mailだ。受信したユーザーが慌ててAmazon.comにログインすると偽のサイトにアクセスする。
サイトはAmazon.comのログインページそっくりで、ロゴはもちろん、本物と同様に“FindGifts”のタグまで使用している。さらに注目すべきことは、入力したe-mail アドレス、パスワードが記録と一致しない場合は、正しいサインインのためにアドレスとパスワードの再入力を求めるというのだ。
これは、偽のサイトが本物のアマゾンのサイトの間で機能しているためで、入力したユーザー名やパスワードなどの情報は、本物のサイトに送られている。ユーザー名、パスワードなどが異なると、その旨のメッセージをアマゾンから犯人側は受け取る。そしてそのメッセージはさらに、ユーザーに送られ、コンピュータに表示される。
この方法では…
【執筆：バンクーバー新報 西川桂子】
──
この記事には続きがあります。
全文はScan Security Management本誌をご覧ください。
◎有料版Scan申込＞ http://www.ns-research.jp/cgi-bin/ct/p.cgi?m02_ssm
《ScanNetSecurity》
