セキュリティ・ベンダーのフィンランドF-Secureは現地時間7月1日と2日，同社エンジニアなどによるブログ「News from the Lab」において，「セキュリティ・ベンダーでさえ，フィッシング目的のメールに間違われるようなメールを出している」として注意を呼びかけた。具体的には，HTMLメールにおいて，文面に書かれているURLとは異なるURLをリンクに張っているケースがあるという。顧客などにメールを送る際には十分注意したい。

　同社が指摘したのは，米RSA Securityおよび米Computer Associatesそれぞれが顧客などへ送ったHTMLメールである。

　RSA Securityが送ったのは，欧州で開催されるセキュリティ関連のカンファレンス「RSA conference in Europe」への参加を促すメール。メールには「Visit 2005.rsaconference.com/europe to find out more and to register.」という一文があり，「2005.rsaconference.com/europe」の部分にはリンクが張られている。当然，クリックすれば「http://2005.rsaconference.com/europe（あるいは https://2005.rsaconference.com/europe）」へ飛ぶように見えるが，実際に張られているリンクは「https://rsasecurity1.rsc03.net/servlet/cc5?jkHQTUUDQUVupsshQoPiihgLgxMqkLJmjLQJhuVaVR」。クリックすると，本物のRSA conference in Europeのサイトへ飛ばされるものの，リンクのアドレスを見る限りではフィッシング目的のメールに思える。

　Computer Associatesが送ったのは，同社ソフト「CA License software」のアップデートを促すメールである。メール中，同社のサポート・ページを説明する以下のような一文がある。「In general, please remember to monitor the SupportConnect web site (http://supportconnect.ca.com) on a regular basis ＜以下略＞」。文中の「http://supportconnect.ca.com」にはリンクが張られている。しかし，実際のリンク先は「http://maestro.ca.com:8080/trk/click?ref=zo19sr69h-ca1x3358x111358」とされている。

　これらのメールはユーザーを不安がらせるとともに，そのメールを出した企業のセキュリティ意識を疑わせる。表記とは異なるURLをリンクに設定すべきではない。また，HTMLメールの利用もできるだけ避けるべきだろう。例えば，今回取り上げられたRSA SecurityおよびComputer Associatesのメールはいずれもテキスト・ベースで，HTMLメールにする必然性が全く感じられない。フィッシングが脅威となっている現在，企業のメール担当者などは十分注意する必要がある。

◎参考資料
◆How not to send email
◆How not to send email, part 2

（勝村　幸博＝IT Pro）