セキュリティ企業のRSAセキュリティは2009年10月30日、ネット詐欺の最新動向に関する説明会を開催。
チャットを使って、ユーザーの個人情報を聞き出そうとする新たなフィッシング詐欺を確認したとして注意を呼びかけた。
今回報告されたのは、RSAセキュリティが2009年8月に確認した新たなタイプのフィッシング詐欺。チャットを使うことが特徴。同社では「チャット・イン・ザ・ミドル(Chat-in-the-Middle)攻撃」と呼んでいる。
同社が確認した手口は以下の通り。攻撃者はまず、米国系のある銀行をかたる偽メールをユーザーに送信し、同銀行のサイトに見せかけた偽サイトに誘導。同銀行の
オンラインバンキングサービスのログインページに見せかけた偽ページに、ユーザーIDとパスワードを入力させようとする。偽ページなどは
英語なので、英語圏のユーザーを狙ったものと考えられる。
ここまでは従来のフィッシング詐欺と同じ。これ以降が異なる。従来の手口では、パスワードなどを入力させた後、本物のログインページに転送するなどして、ユーザーに気付かれないようにする。
今回報告された手口では、パスワードなどを入力させた後、偽ページ上にチャット用の
ポップアップウインドウを表示。同銀行の詐欺対策
サポート担当者などをかたって、ユーザーIDやパスワード以外の個人情報(氏名や電話番号、
メールアドレス、秘密の質問とその答えなど)を、チャットで送信させようとする。
チャットに表示される
メッセージには複数の
パターンがあるという。例えば、「○○銀行詐欺対策部門へようこそ。弊社が継続的にお約束している『可能な限り最善のサービス』とすべてのお客様に対する保護の一環として、みなさまに
アカウントの確認をお願いしております。確認のために午前中にコンタクトいたしますので、お客様のお名前、電話番号とメールアドレスを入力してください」といった英語のメッセージが表示される。
これを信用して、チャットウインドウの下欄に個人情報を入力して「SEND」ボタンを押すと、相手に送信されて盗まれることになる。
現在までに確認されているチャット・イン・ザ・ミドル攻撃は1件だけ。しかしながら同社では、同様の手口が今後増える危険性があると警告。「普段表示されないチャット画面を信じることは危険」「銀行などのサイト運営者が、ユーザー名やパスワード、秘密の質問などを問い合わせることはない」として、注意するよう呼びかけている。
posted by haneda at 19:56|
Comment(0)
|
日記
|

|