SSLを過信していませんか
SSLを過信していませんか――ネットバンキングに潜む誤解とは
●「フィッシング詐欺」はもう知っていますか？
ネットバンキングやネット決済の分野で、世界的に相当な件数の被害が発生しているのが「フィッシング」と呼ばれる行為です。日本は漢字圏（2バイトコードの文化）という特殊性があり、いまだに一般にはなじみの少ない行為ですが、英語圏など海外では深刻な問題に発展している国もあります。
フィッシング詐欺の仕組みはさまざまですが、一般的なものとしては、まずユーザーに電子メールが届きます。メール本文には「ネットバンキングのセキュリティ対策強化のため」や「ネット通販の決済に利用したクレジットカードの有効期限の確認したい」などの文言が記載されています。電子メールにはURLが記載され、クリックすると本物そっくりの（要するに偽物）のWebサイトに誘導されます。そこでユーザーにID、パスワード、暗証番号などの個人情報を入力するように仕向け、第三者が盗み取って情報で利用者に「なりすまし」を行い、現金や商品を搾取します。フィッシング詐欺犯罪の典型的な手口のこのような内容ですが、最近ではこの仕組みが多種多様に広がりつつあります。
わたしは以前に行われたセキュリティ関連のカンファレンス「ネットワーク・セキュリティ・ワークショップ in 越後湯沢2004」でフィッシング詐欺の仕組みと種類や防止策を発表しました。当時は専門家の間でもあまり知られていなかったのですが、今では想像もつかないほどです。近年多発したアドレスバーの偽造やDNSキャッシュポイズニング、Hostsファイルの改ざんといった攻撃のほとんどがフィッシング詐欺につながっています。
フィッシング詐欺の対策もさまざまなものが登場しましたが、基本的には「今見ているWebサイトは正真正銘本当のサイトである」という確認を必ずすることです。一見すると簡単なように思えますが、論理的にはかなり難しいものです。まず、一番簡単な対応策は不審なメールを開封しないことになります。そして対策ツールを活用しつつ、必ずユーザー自身がそのWebサイトの安全性を確認します。主な確認方法は次の通りです。
アドレスバーの確認
確認のためには、正規サイトのURLを知る必要があります。フィッシング詐欺では、正規サイトと似たようなデザインのサイトを構築し、正規サイトに類似したURLも利用して、ユーザーが正規サイトだと思い込ませるようにしています。今、あなたの訪れたサイトは本当にあなたが訪れたいと思った正規サイトでしょうか？ URLも含めて細部まで確認しなくてはいけません。
SSL証明書の確認
ネットバンキングやネット決済のサービスには、ほぼ例外なくSSL証明書が発行されています。まず、この証明書の有無を確認しましょう。確認方法は、Webブラウザの隅などに表示される「鍵マーク」が施錠されているかどうかです。このマークが施錠されたデザインなら、SSL通信が行われている証拠になります。しかし、これだけでは十分ではありません。実際にあった例では、フィッシング詐欺の偽サイトがSSLを利用していました。この場合、一見すると施錠された鍵マークが出ているので正規サイトと見分けがつきません。
この場合、鍵マークをクリックしてSSL証明書の内容を確認する必要があります。そこにURLの会社名が表示されておらず、聞いたこともないような会社名であればまず疑ってみます。そして、その会社の代表番号に電話をし、サイトと証明書が同じ会社であるかを確認します。ユーザーを大事にしている企業では、トップページなどに「当サイトのSSL証明書には次の様に記載されております」といった形で、内容が掲示されていることもあります。しかし、国内ではこのような対応をしている企業は少ないのが実状です。
フィッシング詐欺への対策は、基本的にこの2種類となります。その他の対応策を加味することができますが、対策ソフトウェアに依存し過ぎるとユーザー自身の判断ができなくなる恐れがあります。自己判断ができないという初心者の方は、対策ツールに頼り切ることがかえって危険であるということを理解してください。
●「SSL」の意味を知らないと……
ここでSSL通信にまつわる嘘のような本当の話を紹介しましょう。
Aさん 「萩原さん、ちょっと聞いてください！ このクレジットカードの利用明細ですが、どう見てもおかしいのです」
萩原 「何がどうおかしいのですか？ 何か早とちりでもしていませんか？ 」
Aさん 「この日は札幌に出張で出かけていてずっと仕事をしていたのに、東京の秋葉原でビデオカメラを買ったことになっているのです。ビデオカメラは4年前に購入して押入れにしまったきりなのに！ 絶対に怪しいですよ！ 」
ここまで聞いて、わたしは少し心配になったので、Aさんと前月分の利用明細も確認してみました。すると、このほかにもAさんが覚えていない怪しげな点がいくつも見つかったのです。その中には、海外の店舗と思われる明細がありました。
A さん 「あ、それは関係ないですよ。2カ月ほど前に格安ツアーでマレーシアに行った友人がすごく安い通信販売サイトの存在を現地の人から聞いたのです。わたしもその店のサイトにアクセスしてみたら、本当に安くてびっくりしてしましたよ。現地価格の半値以下で買えるし、萩原さんが言っていたSSLのマークもあったので、安心して利用できましたよ」
わたしはこの話を聞いて目が点になってしまいました。実はこのようなケースが極めて危ないのです。こういった店のサービスの一部には、商品売買の利益よりも、一人でも多くの顧客を呼び寄せて、クレジットカード情報を入手することが狙いになるのです。拠点を転々と変えるケースもあれば、クレジットカード会社を信用させるために店構えを立派に構えているケースもあります。つまり、店舗全体がいわばスキミング詐欺の会社であり、残念ながら対抗手段はこのような店舗で物品を買わないことしかありません……。
Aさんの場合、どうやらこの店でクレジットカード情報がコピーされ、日本に滞在している仲間に伝え、Aさんになりすまして品物を買いあさったようです。
Aさん 「そんなことってあるのですか、SSLは安全なのになぜこんな被害になるのか、信じられません！ 」
萩原 「SSLの意味をちゃんと知っていますか？ SSLはインターネット上の通信を暗号化することで、その経路で盗聴されたとしても内容が読み取れないという意味での安心なのですよ。店にデータが届いた瞬間に復号化されて誰でも読み取れるので、店で悪さをされたらどうしようもないのです！ 」
Aさん 「うー。そんなー……」
私も不安になって周囲のPC初心者に直接聞いてみたところ、何と3割ほど人がSSLの意味を誤って理解していました。まだ啓蒙活動がとても重要であると再認識したほどです。SSLは、インターネットの商行為全体に安心を提供するものではりません。単にネットワークの経路を暗号化することで、経路途中で通信の秘密を担保するものです。つまり、その先にある店や従業員が犯罪行為をしている場合には無力になります。「SSLを採用しているから安心、安全です！ 」と豪語しているようなところは要注意すべきかもしれません。
●まだ多い「キーロガー」でのなりすまし
いまだに根強く発生している手口が、インターネットカフェや会社のPCにキーロガーを仕込む手口です。IDとパスワードを入手してユーザーになりすまし、犯罪を行います。最近では多くのウイルス対策ソフトウェアでキーロガーも検知できるようになりましたが、特に会社のLAN環境に仕込む手口も横行しています。
ネットバンキングやネット決済のサービスは、できれば自宅での環境以外では行わない方が望ましく、最低のルールといっても過言ではありません。また、自宅のPCのウイルス対策ソフトウェアを常に最新の状態にしましょう。他人が操作する場合には管理者権限を与えず、ゲストユーザーのIDで利用させるといったことが大切です。できれば、本人に目の前で利用するようにするといったきめ細かい対応が理想的でしょう。
今回紹介した方法はごく一部分ですが、少しでもユーザーが理解を深めてインターネットを楽しんでいただけるようになってほしいと思います。
世界びっくりニュースより拝借させて頂きました。<(_ _)>
電子決済は確かに早くて便利ですが、
落とし穴も潜んでいることは、確かですね。
安易に使っている人も多いですし、また過激なまでに拒否反応を示す人もいます。
正しい知識を身につけることで、安心してネットバンキングを利用しましょう。
●「フィッシング詐欺」はもう知っていますか？
ネットバンキングやネット決済の分野で、世界的に相当な件数の被害が発生しているのが「フィッシング」と呼ばれる行為です。日本は漢字圏（2バイトコードの文化）という特殊性があり、いまだに一般にはなじみの少ない行為ですが、英語圏など海外では深刻な問題に発展している国もあります。
フィッシング詐欺の仕組みはさまざまですが、一般的なものとしては、まずユーザーに電子メールが届きます。メール本文には「ネットバンキングのセキュリティ対策強化のため」や「ネット通販の決済に利用したクレジットカードの有効期限の確認したい」などの文言が記載されています。電子メールにはURLが記載され、クリックすると本物そっくりの（要するに偽物）のWebサイトに誘導されます。そこでユーザーにID、パスワード、暗証番号などの個人情報を入力するように仕向け、第三者が盗み取って情報で利用者に「なりすまし」を行い、現金や商品を搾取します。フィッシング詐欺犯罪の典型的な手口のこのような内容ですが、最近ではこの仕組みが多種多様に広がりつつあります。
わたしは以前に行われたセキュリティ関連のカンファレンス「ネットワーク・セキュリティ・ワークショップ in 越後湯沢2004」でフィッシング詐欺の仕組みと種類や防止策を発表しました。当時は専門家の間でもあまり知られていなかったのですが、今では想像もつかないほどです。近年多発したアドレスバーの偽造やDNSキャッシュポイズニング、Hostsファイルの改ざんといった攻撃のほとんどがフィッシング詐欺につながっています。
フィッシング詐欺の対策もさまざまなものが登場しましたが、基本的には「今見ているWebサイトは正真正銘本当のサイトである」という確認を必ずすることです。一見すると簡単なように思えますが、論理的にはかなり難しいものです。まず、一番簡単な対応策は不審なメールを開封しないことになります。そして対策ツールを活用しつつ、必ずユーザー自身がそのWebサイトの安全性を確認します。主な確認方法は次の通りです。
アドレスバーの確認
確認のためには、正規サイトのURLを知る必要があります。フィッシング詐欺では、正規サイトと似たようなデザインのサイトを構築し、正規サイトに類似したURLも利用して、ユーザーが正規サイトだと思い込ませるようにしています。今、あなたの訪れたサイトは本当にあなたが訪れたいと思った正規サイトでしょうか？ URLも含めて細部まで確認しなくてはいけません。
SSL証明書の確認
ネットバンキングやネット決済のサービスには、ほぼ例外なくSSL証明書が発行されています。まず、この証明書の有無を確認しましょう。確認方法は、Webブラウザの隅などに表示される「鍵マーク」が施錠されているかどうかです。このマークが施錠されたデザインなら、SSL通信が行われている証拠になります。しかし、これだけでは十分ではありません。実際にあった例では、フィッシング詐欺の偽サイトがSSLを利用していました。この場合、一見すると施錠された鍵マークが出ているので正規サイトと見分けがつきません。
この場合、鍵マークをクリックしてSSL証明書の内容を確認する必要があります。そこにURLの会社名が表示されておらず、聞いたこともないような会社名であればまず疑ってみます。そして、その会社の代表番号に電話をし、サイトと証明書が同じ会社であるかを確認します。ユーザーを大事にしている企業では、トップページなどに「当サイトのSSL証明書には次の様に記載されております」といった形で、内容が掲示されていることもあります。しかし、国内ではこのような対応をしている企業は少ないのが実状です。
フィッシング詐欺への対策は、基本的にこの2種類となります。その他の対応策を加味することができますが、対策ソフトウェアに依存し過ぎるとユーザー自身の判断ができなくなる恐れがあります。自己判断ができないという初心者の方は、対策ツールに頼り切ることがかえって危険であるということを理解してください。
●「SSL」の意味を知らないと……
ここでSSL通信にまつわる嘘のような本当の話を紹介しましょう。
Aさん 「萩原さん、ちょっと聞いてください！ このクレジットカードの利用明細ですが、どう見てもおかしいのです」
萩原 「何がどうおかしいのですか？ 何か早とちりでもしていませんか？ 」
Aさん 「この日は札幌に出張で出かけていてずっと仕事をしていたのに、東京の秋葉原でビデオカメラを買ったことになっているのです。ビデオカメラは4年前に購入して押入れにしまったきりなのに！ 絶対に怪しいですよ！ 」
ここまで聞いて、わたしは少し心配になったので、Aさんと前月分の利用明細も確認してみました。すると、このほかにもAさんが覚えていない怪しげな点がいくつも見つかったのです。その中には、海外の店舗と思われる明細がありました。
A さん 「あ、それは関係ないですよ。2カ月ほど前に格安ツアーでマレーシアに行った友人がすごく安い通信販売サイトの存在を現地の人から聞いたのです。わたしもその店のサイトにアクセスしてみたら、本当に安くてびっくりしてしましたよ。現地価格の半値以下で買えるし、萩原さんが言っていたSSLのマークもあったので、安心して利用できましたよ」
わたしはこの話を聞いて目が点になってしまいました。実はこのようなケースが極めて危ないのです。こういった店のサービスの一部には、商品売買の利益よりも、一人でも多くの顧客を呼び寄せて、クレジットカード情報を入手することが狙いになるのです。拠点を転々と変えるケースもあれば、クレジットカード会社を信用させるために店構えを立派に構えているケースもあります。つまり、店舗全体がいわばスキミング詐欺の会社であり、残念ながら対抗手段はこのような店舗で物品を買わないことしかありません……。
Aさんの場合、どうやらこの店でクレジットカード情報がコピーされ、日本に滞在している仲間に伝え、Aさんになりすまして品物を買いあさったようです。
Aさん 「そんなことってあるのですか、SSLは安全なのになぜこんな被害になるのか、信じられません！ 」
萩原 「SSLの意味をちゃんと知っていますか？ SSLはインターネット上の通信を暗号化することで、その経路で盗聴されたとしても内容が読み取れないという意味での安心なのですよ。店にデータが届いた瞬間に復号化されて誰でも読み取れるので、店で悪さをされたらどうしようもないのです！ 」
Aさん 「うー。そんなー……」
私も不安になって周囲のPC初心者に直接聞いてみたところ、何と3割ほど人がSSLの意味を誤って理解していました。まだ啓蒙活動がとても重要であると再認識したほどです。SSLは、インターネットの商行為全体に安心を提供するものではりません。単にネットワークの経路を暗号化することで、経路途中で通信の秘密を担保するものです。つまり、その先にある店や従業員が犯罪行為をしている場合には無力になります。「SSLを採用しているから安心、安全です！ 」と豪語しているようなところは要注意すべきかもしれません。
●まだ多い「キーロガー」でのなりすまし
いまだに根強く発生している手口が、インターネットカフェや会社のPCにキーロガーを仕込む手口です。IDとパスワードを入手してユーザーになりすまし、犯罪を行います。最近では多くのウイルス対策ソフトウェアでキーロガーも検知できるようになりましたが、特に会社のLAN環境に仕込む手口も横行しています。
ネットバンキングやネット決済のサービスは、できれば自宅での環境以外では行わない方が望ましく、最低のルールといっても過言ではありません。また、自宅のPCのウイルス対策ソフトウェアを常に最新の状態にしましょう。他人が操作する場合には管理者権限を与えず、ゲストユーザーのIDで利用させるといったことが大切です。できれば、本人に目の前で利用するようにするといったきめ細かい対応が理想的でしょう。
今回紹介した方法はごく一部分ですが、少しでもユーザーが理解を深めてインターネットを楽しんでいただけるようになってほしいと思います。
世界びっくりニュースより拝借させて頂きました。<(_ _)>
電子決済は確かに早くて便利ですが、
落とし穴も潜んでいることは、確かですね。
安易に使っている人も多いですし、また過激なまでに拒否反応を示す人もいます。
正しい知識を身につけることで、安心してネットバンキングを利用しましょう。
ランキングにご協力を
theme : インターネットサービス
genre : コンピュータ
![ブログ専用アフィリエイト-Adgger[アドガー]-](http://www.adgger.jp/img/bnr/bnr_adgger02.gif)
