EnterpriseZine（エンタープライズジン）編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

インスタントメッセージ（IM）のアカウントを乗っ取ってユーザーを不正ウェブサイトへと誘導する、フィッシングの新しい手口が出現している。 従来のフィッシング詐欺は、偽ウェブサイトへのリンクが書かれたスパムメールを配信してユーザーを偽サイトにおびき寄せ、クレジットカード情報や社会保障番号、オンラインサービスのログイン情報などの個人情報を盗み出すというものだった。 だが今や攻撃者たちは、IMをはじめとするオンラインのさまざまなサービスを武器として使うようになっている。その手口は、アカウントの乗っ取り、フィッシング、スピム（IMを使ってメッセージを無差別に大量配信すること）など多様化している。 例えば米国時間10月13日、Yahooのある女性社員が、自分のアカウントが何者かによって使用されているのを発見した。攻撃者らは、社員の「Yahoo Messenger」のアドレスブックに登録されている連絡先

フィッシング詐欺とID盗難の急激な増加の陰には、盗まれた金を世界各国に移動して洗浄する「金の運び屋」が存在する。運び屋がいなければ、盗んだクレジットカード認証情報があっても何もすることができないからだ。 フィッシング詐欺とID盗難の急激な増加の陰に、高度に組織されたオフライン部隊が存在する。詐欺師たちに雇われ、盗まれた金を世界各国に移動して洗浄する「金の運び屋」たちである。 「配送マネジャー」「個人管財人」「営業担当者」といった名目で在宅業務の募集広告が、あらゆる主要求人サイトに正々堂々と掲載されている。 しかしVeriSignのセキュリティ調査部門であるiDefenseが実施した調査によると、こういった広告は、旧ソビエト連邦出身のクレジットカード情報窃盗犯たちの違法な資金を移動する人間を雇うのが目的であり、主として米国人、英国人、オーストラリア人が求人対象となっている。 バージニア州ダレ

個人情報窃盗を狙ったフィッシング詐欺メールの75％以上はPayPalとeBayのユーザーが標的になっているという調査結果を、セキュリティ企業のSophosが7月27日、発表した。 Sophosのスパムトラップの世界ネットワークで2006年に受信した全フィッシングメールを調べた結果、PayPalユーザーからの情報窃盗を狙ったものが54.3％、eBayユーザーの情報窃盗を狙ったものが20.9％を占めていた。 PayPalとeBayが狙われるのは、両サービスが銀行などに比べて世界的に人気があるためだとSophosは解説。両社ではユーザーの啓発に努めているが、ユーザーにとってはまず自分の個人情報保護に関する知識を身に着け、クリックする前に考えることが最善の策だとアドバイスしている。

新手の手口では、「Gmailで500ドルが当たりました」というメッセージでユーザーを偽サイトにおびき寄せ、金をだまし取ろうとする。 セキュリティ企業Websenseが7月10日に公開したアラートによれば、Googleを使ったフィッシング攻撃が巧妙さを増し、賞金でユーザーを釣って偽サイトに誘導する手口が登場しているという。 この手口ではまず、Gmailスタッフを装った電子メールで「You won $500! Gmail congratulates you!」（Gmailで500ドルが当たりました！）というメッセージを送りつけ、偽のGmailログインページに誘導する。 このサイトを訪れると賞金を振り込むためと称してe-Gold、PayPalなどのアカウントを選ぶよう求められ、アカウントを選んだ後は、賞金を受け取るためには8.60ドルの登録料を払って「Gmail Games」のプレミアムメンバー

XSS脆弱性を悪用したフィッシング詐欺（英Netcraftの情報より引用）<br>表示されているのは本物のページだが，XSS脆弱性を悪用されて，偽のメッセージやリダイレクトのためのメタ・タグなどが埋め込まれている。 フィッシング対策ツールなどを提供している英Netcraftは現地時間6月16日，米PayPalをかたる新たなフィッシング詐欺が確認されたとして注意を呼びかけた。細工が施されたリンクをクリックすると，PayPalの本物のWebサイトが表示されてから，偽サイトへリダイレクトされる。このため，通常のフィッシングよりもだまされる可能性が高いとする。 今回のフィッシングは，PayPalのサイトに見つかったクロスサイト・スクリプティング（XSS）の脆弱性を悪用する。Webページ（Webアプリケーション）にXSS脆弱性が存在する場合，攻撃者は細工を施したリンク（URL）をユーザーにクリックさ

フィルタリングソフトなどを開発するネットスターは、同社のURLリサーチセンターが発見、存在を確認したワンクリック詐欺サイトの数が、2004年から2005年にかけての1年間で約7倍に急増していることが明らかになったと発表した。 また、家庭の保護者を対象とするインターネット利用実態調査においても、詐欺系サイトへの懸念が1位となり、URLフィルタリングなどによる具体的な対処が求められているとしている。 ワンクリック詐欺サイトの数は、ネットスターがURLフィルタリング用のデータベースとして収集、配信しているもので、いわゆる「ワンクリック詐欺サイト」を、通常のアダルトサイトや出会い系サイトとは異なる「違法と思われる行為」としてカテゴリ分類していた。このデータベースでは、ワンクリック詐欺サイトの数が2004年から2005年にかけての1年間で約7倍に急増した。 ネットスターが本年3月に実施した家庭の保護

ナイジェリアのラゴスというアフリカ最大級の1500万人がいる都市。ここに住んでいるAkinという14歳の少年。彼はネットカフェから毎日、1日10時間ネットをして億万長者になったという。 一体彼は何をしたのか？どういう手口なのか？以下、その詳細。 FORTUNE: Online scams create "Yahoo! millionaires" - May 29, 2006 彼はオンライン上でノートパソコンやデジカメ、テレビなどを盗み出したクレジットカードで購入。次に国際貨物でヨーロッパにある彼のセーフハウス（隠れ家、アジト）に出荷。ヨーロッパにいる彼のネット上の友人がそのセーフハウスで荷物を受け取り、ラゴスへ運ばれる。そしてラゴスのブラックマーケットで売買されるとのこと。 このクレジットカードの番号を盗み出す方法は、ラゴスにあるネットカフェから行われるスパムメールの大量送信によって行われ

安価なインターネット電話サービスを用いて偽の電話番号を用意し、個人情報を盗み取ろうとするフィッシングの手口が報告された。 安価なインターネット電話サービスを用いて偽の電話番号を用意し、個人情報を盗み取ろうとする新たなフィッシングの手口が報告された。 伝統的なフィッシング詐欺は、金融機関などの名前をかたる電子メールを送りつけてユーザーを偽のWebサイトに誘導し、個人情報を盗み取る。これに対しセキュリティ企業のCloudmarkが報告した新たな手口では、金融機関のコールセンターを装った自動応答システムを用いて口座番号やPINコード、社会保障番号といった情報を詐取しようとするという。 この手口では、ユーザーに、問題が生じたため至急メールに記された番号に電話するよう依頼するメールが送付される。しかし実は、メールに記された電話番号は、攻撃者が安価なインターネット電話サービスを用いて用意した偽の番号だ

「これまで、オンライン詐欺を仕掛けてくるのは1つの大きな組織だと考えられてきた。しかし半年にわたるわれわれの調査の結果、実際には3つの異なるタイプの人々が連携して不正を働いていることがわかってきた」――米RSA Securityのコンシューマー・ソリューションズ部門担当上級副社長、ナフタリ・ベネット氏は、オンライン詐欺の動向に関してこのように語った。 ベネット氏は4月26日、27日にわたって開催されたRSA Conferenceに合わせて来日した。同氏は、2005年にRSA Securityが買収したセキュリティ企業、Cyotaの共同創設者であり、CEOを務めていた。 ベネット氏は、オンライン詐欺団は「ツールビルダー」「データコレクター」、それに「キャッシュグラバー」の3種類に分けられると説明する。 ツールビルダーとは文字通り、不正行為に必要なツールキットを作成するグループだ。フィッシング

ヤフーは、Yahoo!メールにおいてYahoo! JAPANのサービスから送信されたメールに対し、送信元を保証するマークの表示を4月27日より開始すると発表した。これはフィッシング詐欺対策の一環として実施されるもので、現時点では「Yahoo!オークション」の落札通知や評価通知などの自動通知メールに対応する。 具体的には、Yahoo! JAPANより送信されたメールをウェブ版の「Yahoo!メール」で確認する際に、受信メール一覧画面上に紫色の「Y!」マークが表示される。Yahoo! JAPANを装って送信されたメールを受信した場合は「Y!」マークが表示されないため、送信元を詐称したメールと、正しいメールとの判別が容易になる。今後は各サービスへの対応も予定している。

「Internet Explorer（IE）」に未修正の脆弱性が存在しており、犯罪者がフィッシング詐欺に悪用するおそれがあると、専門家が警告している。 セキュリティ監視企業Secuniaが米国時間4月4日に発表した勧告によると、同脆弱性はブラウザウィンドウのアドレスバーを偽装するために用いられることがあるという。この手法は、実際は偽のウェブページを閲覧しているユーザーをだまし、正規のサイトだと信じ込ませる、フィッシング詐欺を仕掛けるために使用される可能性がある。 フィッシングはオンラインで広く見られるようになった詐欺の一種で、無防備なインターネットユーザーから個人情報を盗むことを目的としている。通常のフィッシング攻撃では、スパムメールと、クレジットカード会社や銀行といった信頼できる機関のものに見せかけられた偽のウェブサイトが組み合わせられる。 Secuniaは、IEがウェブページおよび「M

フィッシング詐欺に関する警告が広く発せられてから数年が経つが、未だフィッシング詐欺の被害に遭う人が後を絶たない。その原因について、米国の3名の研究者が論文を発表した。 多くの人が、銀行などのオンラインサービスを名乗る電子メールを受信している。その内容は、受信者が顧客となっている銀行もしくはサービスで必要な個人情報や財務情報を求めるものが多い。しかし、そのような電子メールを受け取った場合、多くの人は用心が必要だとは思っている。 ハーバード大学のRachna Dhamija氏およびカリフォルニア大学バークレイ校のMarti Hearst氏とJ.D. Tygar氏は、「Why Phishing Works（なぜフィッシング詐欺が上手くいくのか）」という論文（PDFファイル）の作成を目的に、少人数のユーザーを対象に実験をした。そして、電子メールの真偽を判定する際、被験者の90％が巧妙に作られたフィ

eBayのオークションリストをクリックすると、ユーザーIDとパスワードを盗み出すための偽造ログイン画面が表示されるフィッシング詐欺が出現した。 世界に約1億8100万人のユーザーを抱えるeBayは、間違いなく世界で最も人気のあるオークションサイトだ。eBayはオンライン支払いシステムPayPalを持つことからも、フィッシング事業者など、オンラインで詐欺行為をはたらこうとする人にとって格好のターゲットとなっている。 フィッシングとは、正当なウェブサイトにそっくりの偽造ウェブサイトを作成して、インターネットユーザーからユーザー名やパスワード、クレジットカード番号などの秘密情報を盗み出そうとする行為を指す。犯罪者は通常、偽造ウェブサイトにユーザーをおびき寄せるためにスパムメールを用いるが、今回はeBayのサイト上にあるオークションリストが悪用された。 オークションサイトを利用した詐欺行為の中には