フィッシングメールから身を守る

組織のセキュリティ対策
2016.1.8

私が常々行っているアドバイスの一つは（何度も情報を更新していますが）、「疑わしいリンクは決してクリックしないでください」ということです。ほとんどの場合この種の怪しいリンクは、見分けるのが簡単です。そのため、サイバー犯罪者は、なんとかあなたにクリックさせようと、特別に周到に準備します。彼らはあなたにクリックさせるために、あらゆる理由を並べ立てます。たとえば、パスワードのリセットが必要だとか、何かに当選したので連絡が必要だとか、恥ずかしい写真が見つかった…といった内容です。

先日、私のPayPalアカウントが閉鎖されるという非常に怪しい電子メールを受信しました。このメールは、削除するよりも、なぜこれが偽メールなのかを説明するのに役立つので、このメールを使って、リンクの先で何が待っているのかを説明します。

まずここに明らかな問題があります。

電子メールのアドレス：アドレスは正規サイトのURLと一致していますか？もしそうであれば、電子メールは「paypal@inc.com」ではなく、「info@paypal.com」となっているはずです。偽の電子メールの多くはこの方法ですぐに識別できます。

文法の誤り：1回でわからなければ、もう一度電子メールを読み直してください。一定の規模の本物の会社であれば、複数の人が確認した上で電子メールを送信します。それでも誤りが発生することはありますが、公式な電子メールで「Why My accounts is Limited?」のような文法の誤りは考えられません。

クリックボタン：ほとんどの金融機関のメールには、重要な口座に関連する電子メールにハイパーリンクを設定した画像を含みません。新サービスの広告宣伝には含まれることがありますが、アカウントを確認する必要があるような電子メールではテキストリンクの場合がほとんどです。もしくは、“Log into your account and click on the “Update Profile” link” （「アカウントにログインして［プロファイル更新］リンクをクリックしてください。」）などの表現が使われているほうが安全です。

次に、“resolve it now” （「すぐに解決」）ボタンについて説明します。リンクを確認すると何が起こるか見てみましょう。見かけとはまったく異なるホストへの非常に怪しいリンクに誘導しようとしていることがわかります。

（リンク先を確認するには、Windowsでは右クリック、iOSでは長押しします）

ご覧のように、このリンクをクリックすると、PayPal.comとは明らかに異なるサイトに誘導されます。

この電子メールはiPadで受信しましたが、ほとんどのサイバー犯罪はWindows、OSX、Androidを標的としているため、リンクの先に何があっても受信側のシステムは感染しないだろうという確信がありましたので、その先まで見てみることにしました。

リンクをクリックすると、なりすましを行おうとしているページのオリジナルHTMLソースをそのままコピーした可能性が高いページに移動しました。ログイン画面自体は本物そっくりでした。

今回、私はこのサイトがPayPal.comではないことを知っていたので、Email addressフィールドとPasswordフィールドにはランダムな文字列を入力しましたそれなのに問題なく「ログインできた」ことに、私は驚きませんでした。なぜなら、このサイトの目的は、個人情報を入力させマルウェアに感染させることだからです。

（1）文法の誤りと（2）偽の認証バッジに注目してください。

住所、電話番号、誕生日などの個人情報入力を求められた後、クレジットカード番号の入力も促されます。

さて、あなたのクレジットカード情報を入手したら、このサイトは銀行口座の情報も入力させようとします。そしてログイン名とパスワードも聞いてくるのです！当然ながら、実際の銀行のWebサイト以外でこのような情報を入力すべきではありません。

次は個人的に面白いと思った部分です。あらゆる個人情報の入力を促した後で、「個人情報を照合するので」Webカメラの前でIDを提示するようにというポップアップ表示が現れます。

ご覧のように便利なFlashアプリケーションも提供して、Webカメラを使ってIDの写真を撮れるようにしています。それ以外にこのFlashアプリケーションが何を行うと思いますか？追加のマルウェアをマシンにインストールして、ボットネットに参加させ、サイバー犯罪者が利用できるようにするのです。

では安全性を確保するにはどうすればよいのでしょうか？

この種のサイバー詐欺から身を守るには主に3つの方法があります。

疑わしいリンクはクリックしない。前述のヒントを基に、詐欺メールを見分けてください。銀行やクレジットカード会社から予想外の電子メールが送信されてきた場合、サイトのメインランディングページにアクセスして、自分でアカウント情報ページに移動します。また、McAfee® Total Protectionに含まれているMcAfee® Web Advisorなどの、Webレピュテーションツールを使用することも大事です。

常に更新する。常に最新のパッチを適用して、システムを最新の状態に維持しておくように心がけます。これはオペレーティングシステムとアプリケーションソフトにも言えることです。自動更新機能を活用すれば、最新のシステムで多くのマルウェアを避けることができます。

ウイルス対策ソフトウェアをシステム上で実行する。上記の2つのステップで多くのマルウェアを回避することができますが、システムでウイルス対策ソフトウェアを実行することも非常に重要です。これによって、更新ではまだ対応できていない新たなエクスプロイトや、ドライブバイダウンロード攻撃から保護することができます。ウイルス対策ソフトウェアにかかるコストのほうが、感染で発生する問題のコストよりも常に低いのです。

年末年始のこの時期、油断せずに常に身を守るようにしてください。

※本ページの内容は2015年12月14日更新のMcAfee Blog の抄訳です。

原文: Learn How to Spot a Phishy Email and Stay Safe
著者: Bruce Snell