SCAN DISPATCH ： MITがフィッシングの標的に

SCAN DISPATCH は、アメリカのセキュリティ業界及ハッカーコミュニティから届いたニュースを、狭く絞り込み、深く掘り下げて掲載します。

──

この3月、マサチューセッツ工科大学（MIT）の生徒や職員に対して、フィッシング攻撃が行なわれていたと、MITのウエブ・ニュースのサイトであるwww-tech.mit.eduが報じている。

これによると、“MIT Webmail Team”からと偽った「パスワードの確認をお願いします」という内容のフィッシング・メールが、MITのウエブメールの利用者に送信された。このフィッシング・メールは、MITのウエブメール自体や、その他の大学のウエブメール・サービスのサーバーを使われて発信されていた。その数は2万通にも上るそうだ。

が、なんと、こともあろうに、このスパムに自分のパスワードをタイプして返信していた利用者がいることが分かった。スパマーは一度パスワードを手に入れると、今度はそのアカウントを利用して、他のMITのウエブメールの利用者にスパムを発信。更なる被害者を作っていた。

MITのネットワーク・マネージャーのジェフリー・シラーによると、スパマーは香港などの国外からの攻撃のようで、建築学科の日本人教授、神田氏のアカウントが攻撃用アカウントと利用されていたという。（神田教授のアカウントがスパムに利用された理由については不明）。

「フィッシングはMITではそれほど問題ではなかった」と先のシラー氏は言っていおり、www-tech.mit.eduでも、MITは銀行やクレジットカード会社ではないので、正規アカウントはそれほど利用価値がなかったと伝えている。しかし最近では、アンチスパム技術の進歩のおかげで、正規アカウントはどんなアカウントでも利用価値が高くなったと分析されている。それは、大学から送られてきた電子メールは、ボットに汚染されたパソコンのものよりも、ちゃんと受信される可能性が高いからだそうだ。シラー氏は「MITのサーバーを介すが送信者のMITのシステムでのクレデンシャルを確認していないメールは、スパマーが悪用しやすいが、きちんとMITのクレデンシャルを確認したメール、つまり、送信者がちゃんとMITのシステムのユーザーネームとパスワードを使って送信したメールは信頼性も高いが、（スパマーが）送信に使うことは難しい」と言っている。

今後MITでは…

【執筆：米国　笠原利香】

【セキュリティ用語解説】
フィッシング（Phishing）とは
https://www.netsecurity.ne.jp/dictionary/phishing.html

【関連リンク】
www-tech.mit.edu
http://www-tech.mit.edu/
──
※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
購読会員登録案内 http://www.ns-research.jp/cgi-bin/ct/p.cgi?w02_ssw