2007年は中間者攻撃に要注意(1)本物のサイトと連動し、正しい情報の入力を求める

1月3日、『Washington Post』のSecurity Fixでブライアン・クレブズが今年初めてのフィッシング詐欺として、偽のAmazon.comのログインページを使ったケースについて報告している。

特集特集

2007.1.23 Tue 15:00

1月3日、『Washington Post』のSecurity Fixでブライアン・クレブズが今年初めてのフィッシング詐欺として、偽のAmazon.comのログインページを使ったケースについて報告している。

クレブズはこのサイトについては、ボランティアベースのウェブセキュリティとプライバシーに関するウェブサイトCastlecops.comのポール・ローダンスキーから情報を得たという。フィッシングのための最初の“餌”は、ユーザーに対して、権限なしのアクティビティ、つまり何者かが不正に使用しようとしていたと警告するe-mailだ。受信したユーザーが慌ててAmazon.comにログインすると偽のサイトにアクセスする。

サイトはAmazon.comのログインページそっくりで、ロゴはもちろん、本物と同様に“FindGifts”のタグまで使用している。さらに注目すべきことは、入力したe-mail アドレス、パスワードが記録と一致しない場合は、正しいサインインのためにアドレスとパスワードの再入力を求めるというのだ。

これは、偽のサイトが本物のアマゾンのサイトの間で機能しているためで、入力したユーザー名やパスワードなどの情報は、本物のサイトに送られている。ユーザー名、パスワードなどが異なると、その旨のメッセージをアマゾンから犯人側は受け取る。そしてそのメッセージはさらに、ユーザーに送られ、コンピュータに表示される。

この方法では…

【執筆：バンクーバー新報　西川桂子】

──
この記事には続きがあります。
全文はScan Security Management本誌をご覧ください。

◎有料版Scan申込＞ http://www.ns-research.jp/cgi-bin/ct/p.cgi?m02_ssm