現在地 HOME > 掲示板
> ＩＴ5 > 354.html
★阿修羅♪
|
現在地 HOME > 掲示板
> ＩＴ5 > 354.html
★阿修羅♪
|
|
| Tweet |
“phishing”の新たな手口が出現，「今まで見たことがない」――業界団体【まるでＩＴ版Stingですね。(^^;】
http://itpro.nikkeibp.co.jp/free/ITPro/NEWS/20040402/142361/
“phishing（フィッシング）”対策の業界団体「Anti-Phishing Working Group（APWG）」は米国時間3月31日，phishingの新たな手口を警告した。phishingとは，実在する企業のWebサイトに見せかけたサイトへユーザーを誘導し，クレジット・カード番号などを入力させる詐欺行為のこと（関連記事）。新たな手口では，ブラウザに表示されるアドレス・バーをJavaScriptとフレームを使って偽装する。「今までに見たことがない手法だ（This is a new phishing attack technique that we have not seen before）」（APWG）。
今回確認された手口のターゲットとなるのは，米Citibankの利用者。偽のサイトへ誘導するメールの件名は「Verify your E-mail with Citibank」，送信者名は「support@citibank.com」として，Citibankからの通知に見せかける。メールはHTMLメール。本文には，「メールアドレスが有効かどうかを確認するので，下記のリンクをクリックして，CitibankのATM／Debitカード番号とPIN（Personal Identification Number：暗証番号）を入力してほしい」と書かれている。リンクは「https://web.da-us.citibank.com/signin/citifi/scripts/email_verify.jsp」と表示されているが，実際のリンク先は偽のサイトのURL「http://69.56.202.82/~citisecu/scripts/email_verify.htm」になっている（現在，このURLにはアクセスできない）。
偽のサイトへ誘導するメールには目新しさはない。問題は誘導先のページ「http://69.56.202.82/~citisecu/scripts/email_verify.htm」である。表示にだまされて，メール中のリンクをクリックしてこのサイトへアクセスしても，そのままでは，ブラウザのアドレス・バー（現在表示させているページのURLを表示する，ブラウザの上部にあるバー）には「http://69.56.202.82/~citisecu/scripts/email_verify.htm」と表示されてしまう。
そこで，このページに細工を施して，偽のアドレスが表示されるようにする。具体的には，JavaScriptを使って実際のアドレス・バーを表示させないようにするとともに，JavaScriptとフレームタグで作成した偽のアドレス・バーを表示させる。偽のアドレス・バーには「https://web.da-us.citibank.com/signin/citifi/scripts/email_verify.jsp」と表示させる。そして，カード番号などを入力させるフォームを表示する。
このとき，偽のアドレス・バーには「https://web.da-us.citibank.com/signin/citifi/scripts/email_verify.jsp」と表示されていても，実際にアクセスしているのは「http://69.56.202.82/~citisecu/scripts/email_verify.htm」なので，ブラウザにはSSL通信していることを示す鍵マークは表示されない。
このページから別のページに移動しても，偽のアドレス・バーは表示されたままで，本物のアドレス・バーと同じように機能する。偽のアドレス・バーにURLを入力すれば，そのURLのページに移動できる。このため，ユーザーは偽のアドレス・バーが表示されていることに気が付きにくい。ただし，別のページに移動しても，タイトル・バーには「Welcome to Citi」と表示されたままである。
APWGでは，今回の手口を「今まで確認した中で，最も洗練された方法の一つ（This is one of the most sophisticated phishing attacks that we have yet detected）」として，特に注意を呼びかけている。
◎参考資料
◆「Citibank - "Verify your E-mail with Citibank"」（APWG）
（勝村 幸博＝IT Pro）
■専門サイト「IT Pro Security」トップへ■
＜“オンライン詐欺”関連＞
「迷惑メール」や「オレオレ詐欺」はなぜ起こる？，NTTドコモが専門研究所を設立 (2004/04/01)
「アドレス詐称を防ぐ技術は詐欺メール対策にも有効」――センドメール小島社長 (2004/03/25)
「シニア層は，スパムの対処法でオンライン詐欺の被害者になる可能性が低い」，米Symantec (2004/03/27)
米Network Associates，企業および個人にフィッシング対策を指南 (2004/03/17)
phishing――だましのメールに釣られるな (2004/03/15)
「2003年は電子商取引が急成長，しかしオンライン詐欺も急増」−−米VeriSign調査 (2004/02/12)
オンライン詐欺から身を守るために (2004/01/27)
「アイデンティティの盗用とスパムへの懸念がオンライン・ショッピングにマイナス影響」，米調査会社 (2003/12/06)
「ネット利用の拡大に伴い，セキュリティ攻撃やオンライン詐欺が増加」，米VeriSignの調査 (2003/10/18)
※スティング
1973・米 / 監督：ジョージ・ロイ・ヒル
下記解説は（但し一部間違っている箇所を訂正「大物マフィア・ロネガン（ポール・ニューマン）の力を借りて→大物マフィア・ロネガンを、詐欺師（ポール・ニューマン）の力を借りて」
http://www.h3.dion.ne.jp/~tango2/D/sting.html
３０年代シカゴの下町。仲間を殺された仕返しに詐欺師フッカー（ロバート・レッドフォード） が大物マフィア・ロネガンを、詐欺師（ポール・ニューマン）の力を借りてハメる、大仕掛けのイカサマバクチを企んだ。 役者も道具も万全。後は、sting 「とどめをさす」だけだ。
下記解説は
http://www.amazon.co.jp/exec/obidos/ASIN/B0000CD7PN/249-0552174-0084364
1936年のシカゴの下町。親友を殺されたチンピラたちが、その報復のために、ギャングの大親分ロネガンから大きくカモろうとする。そして、下町にインチキのみ屋を構えることにした。さて、その首尾はいかに？
73年のアカデミー作品賞ほか、全7部門で受賞したコミカルなドラマだ。ギャングの大親分に一泡ふかせるという、大胆な物語を奇想天外なトリックで実行している。その話術の巧妙さが絶品で、ラストのどんでん返しもまた見事だ。
スコット・ジョプリンのラグタイムピアノをフィーチャーした音楽が、30年代のムードを盛りあげている。主演は、ポール・ニューマンとロバート・レッドフォード。この2人の標的にされるロネガンに、ロバート・ショウが扮している。監督は、話術の冴えに定評があるジョージ・ロイ・ヒルだ。（アルジオン北村）
題名には必ず「阿修羅さんへ」と記述してください。