ウチにも来たフィッシング詐欺
2007年1月25日
フィッシング(phishing)詐欺のメールを受け取った。まあまあ巧妙な手口である。
Bank of Americaからのメールを装っている。メールの題名は『Member Verification』、差出人は『security@bankofamerica.com』、宛先(To: アドレス)は『undisclosed-recipients:;』で、Bcc: にこちらのアドレスを指定して送られてきたと思われる。驚いたことに、使用されたSMTPサーバのアドレスは『bankofamerica.com ([202.130.162.80])』となっていて、これも偽装されている（bankofamerica.com の IP アドレスは 202.130.162.80 ではない）。ちなみに、この202.130.162.80は、香港にあるIPアドレスのようである。
メールの内容としては、アメリカ政府がテロ組織の資金部門と対決するために連邦政府が銀行口座を確認する必要があり、この確認を４８時間以内に行わないと口座が凍結されるというものである。このメール中で、フィッシング詐欺用のURLに誘導している。
このURLを提供しているサーバは、Taiwan Telecommunication Network Services Co.,LTD. と ADSL 契約をしているユーザの自宅サーバだと思われる。このサーバから送られてくるヘッダは、次のような感じ。
誘導されたURLにアクセスすると、次のように表示される。
URLを確認せずにこれだけを見れば、Bank of America のサイトにしか見えない（ちなみに、URLも Bank of America のそれにかなり近い）。セキュアなサーバではないのであるが、ページ中にパッドロックのアイコンとともに『Secure Area』と表示することで、セキュアなアクセスだと思わせるようにしてある。
ここで、６文字以上のでたらめな数字を打ち込むと次のページに移る。
社会保障番号（Social Security Number: 税金や銀行・クレジットカードの使用を含む、すべての個人管理に用いられる個人番号）やクレジットカードの番号を入力させるようにしている。ここでも、すべての項目を入力しないとエラー表示するようにしてある。でたらめな情報を入力すると、
のように表示される。『１０秒経つとこの画面は自動的に閉じられます』と表示されるが、実際には１０秒以上まっても閉じられることはなかった。
困るのは、 このサイトがIEのフィッシングチェックでは危険サイトと認識されないことである。おそらく、１－２日で登録されるのであろうが、その１－２日の間に引っかかる人の数は半端な値ではあるまい。なまじっかブラウザにこういった機能があるがために引っかかる人も居るのではないかと思われる。こういう詐欺に対処するには、ブラウザの機能に頼るのではなくて、自分自身の知識として対応するのが一番ではないだろうか？
銀行やクレジットカード会社が、このような形でカード番号などの個人情報を確認することは絶対にありえない。もしそれが本当に銀行などからの依頼であると思うのなら、電話帳などで調べた銀行の電話番号に電話して、確認するなどの習慣をつけるべきであろう。（注意：送られてきたメールや、誘導された web ページに載せられている番号に電話したのでは意味が無い。） Web は非常に便利であるけれども、このような危険性が常にあると認識しながら使用することを心がけたい。
Bank of Americaからのメールを装っている。メールの題名は『Member Verification』、差出人は『security@bankofamerica.com』、宛先(To: アドレス)は『undisclosed-recipients:;』で、Bcc: にこちらのアドレスを指定して送られてきたと思われる。驚いたことに、使用されたSMTPサーバのアドレスは『bankofamerica.com ([202.130.162.80])』となっていて、これも偽装されている（bankofamerica.com の IP アドレスは 202.130.162.80 ではない）。ちなみに、この202.130.162.80は、香港にあるIPアドレスのようである。
メールの内容としては、アメリカ政府がテロ組織の資金部門と対決するために連邦政府が銀行口座を確認する必要があり、この確認を４８時間以内に行わないと口座が凍結されるというものである。このメール中で、フィッシング詐欺用のURLに誘導している。
このURLを提供しているサーバは、Taiwan Telecommunication Network Services Co.,LTD. と ADSL 契約をしているユーザの自宅サーバだと思われる。このサーバから送られてくるヘッダは、次のような感じ。
HTTP/1.1 200 OK Date: Fri, 26 Jan 2007 02:40:47 GMT Server: Apache/1.3.33 (Unix) PHP/4.3.9 Connection: close Transfer-Encoding: chunked Content-Type: text/html
誘導されたURLにアクセスすると、次のように表示される。
URLを確認せずにこれだけを見れば、Bank of America のサイトにしか見えない（ちなみに、URLも Bank of America のそれにかなり近い）。セキュアなサーバではないのであるが、ページ中にパッドロックのアイコンとともに『Secure Area』と表示することで、セキュアなアクセスだと思わせるようにしてある。
ここで、６文字以上のでたらめな数字を打ち込むと次のページに移る。
社会保障番号（Social Security Number: 税金や銀行・クレジットカードの使用を含む、すべての個人管理に用いられる個人番号）やクレジットカードの番号を入力させるようにしている。ここでも、すべての項目を入力しないとエラー表示するようにしてある。でたらめな情報を入力すると、
のように表示される。『１０秒経つとこの画面は自動的に閉じられます』と表示されるが、実際には１０秒以上まっても閉じられることはなかった。
困るのは、 このサイトがIEのフィッシングチェックでは危険サイトと認識されないことである。おそらく、１－２日で登録されるのであろうが、その１－２日の間に引っかかる人の数は半端な値ではあるまい。なまじっかブラウザにこういった機能があるがために引っかかる人も居るのではないかと思われる。こういう詐欺に対処するには、ブラウザの機能に頼るのではなくて、自分自身の知識として対応するのが一番ではないだろうか？
銀行やクレジットカード会社が、このような形でカード番号などの個人情報を確認することは絶対にありえない。もしそれが本当に銀行などからの依頼であると思うのなら、電話帳などで調べた銀行の電話番号に電話して、確認するなどの習慣をつけるべきであろう。（注意：送られてきたメールや、誘導された web ページに載せられている番号に電話したのでは意味が無い。） Web は非常に便利であるけれども、このような危険性が常にあると認識しながら使用することを心がけたい。