| Symantec Security Response Weblog |
May 24、2010 Posted by Mathew Maniyara
2010年5月、悪事と無関係な大手オンラインファイル転送サービスを装うフィッシングサイトが見つかった。この種のサービスは、サイズの大きなファイルの送受信やホスティングに利用できる。メールシステムには添付可能なファイルのサイズに上限を設けることが多いため、オンラインファイル転送サービスは大きなファイルを送る際の代替手段として使いやすい。ファイル送信に使う場合、ユーザーは受信者のメールアドレスを入力し、送るファイルを選び、「送信」ボタンをクリックする。こうしてファイルが送信されると、受信者の元にはファイルダウンロード用URLの記載された通知が届く。合法的なオンラインファイル転送サービスは、ファイルサイズに制限のある無料メニューと、より大きなファイルを送信できる有料メニューを用意している。
これまでにも、合法的なファイルホスティングサービスを悪用するフィッシング攻撃は存在した。これに対して今回のフィッシングは、ファイルホスティングに加えファイル転送機能を提供するWebサイトを騙（かた）った初めての事例だ。
今回の攻撃では、まずフィシングサイトを指すリンクを記載したスパムメールが届く。メールには、ダウンロードできるファイルがあると記されている。フィッシングサイトにアクセスすると、ログインに必要なID情報の入力を求められる。入力を終えると、ユーザーのアクセスはフィッシングサイトから本来の正しいWebサイトに転送される。ログイン情報を盗むことに成功したフィッシング犯は、思うままこのオンファイファイル転送サービスを大きなファイルのホスティングや転送に使える。IDを盗まれたユーザーは、ファイルホスティング用アカウントの利用権を使いつくされてしまう。攻撃の目的は通常のフィッシングサイトと違って金銭ではない。被害に遭うと、契約している有料サービスを利用できなくなることがある。なお、このフィッシングサイトは米国の無料Webホスティングサービスを使って作られていた。
インターネットを利用する際には、よい習慣を取り入れてフィッシング攻撃を回避しよう。オンライン詐欺被害を防ぐための基本的なヒントをいくつか紹介しておこう。
・メールに記載された怪しいリンクはクリックしない
・アクセスするWebサイトのURLを調べ、URLにアクセス先ブランド（企業名や商品名など）が含まれていることを確かめる
・WebブラウザーのアドレスバーにアクセスするWebサイトのドメイン名を直接入力する。リンクをクリックしてアクセスすることは絶対に避ける
・オンラインフィッシング対策になる「Norton Internet Security 2010」といったセキュリティソフトを頻繁にアップデートする
Copyrights (C) 2010 Symantec Corporation. All rights reserved.
本記事の内容は執筆時点のものであり、含まれている情報やリンクの正確性、完全性、妥当性について保証するものではありません。
◆この記事は、シマンテックの許可を得て、米国のセキュリティ・ラボの研究員が執筆するブログSecurity Response Weblogの記事を抜粋して日本語化したものです。オリジナルの記事は、「Online File Transfer Fraud」でお読みいただけます。
