フィッシングの一手口

　従来のフィッシングとは一見異なる手法で個人情報を盗むファーミング。しかし，フィッシングなどに詳しいセキュアブレインの星澤裕二プリンシパルセキュリティアナリストは「あえて“ファーミング”と呼ぶ必要はない」という。というのも，現在ではフィッシングの定義が広がっていて，ファーミングも広義のフィッシングに含まれるためだ。「偽サイトや偽メールを使って個人情報などを盗むこと」全般をフィッシングと呼ぶようになっている。偽サイトあるいは偽メールだけで“完結”する手口でも，フィッシングと呼ぶケースが増えている。

　2003年からフィッシング対策を呼びかけている米国組織「Anti-Phishing Working Group（APWG）」の事務局長を務めるPeter Cassidy氏は，「例えばhostsファイルを書き換えてユーザーを偽サイトへ誘導し，ユーザーに気付かれないように個人情報を盗むこと」も，フィッシングの手口の一つだと説明する（関連記事）。ただ，従来の手口と区別する上で，知らないうちに盗む手口のフィッシングを「ステルス型」と同氏は呼んでいる。

　「一部のベンダーがファーミングと呼んでいる手口は，目新しいものではない。フィッシングの手口に含まれるものだ。必要に迫られて作ったというより『新しい言葉を作りたくて作った言葉』といえる」（セキュアブレイン 星澤氏）。同社では，ファーミングという言葉が一般的にならない限りは，率先して使うことはないという。加えて星澤氏は，ファーミングが一般的になることはないと予想する。筆者もそう思う。皆さんはどう思いますか？

　とはいえ，「自分で正規のURLを打ち込んだにもかかわらず，知らないうちに偽サイトへ誘導される」という手口自体は脅威である。ユーザーとしては，こういった手口があることを知った上で，きちんと対策を施したい。hostsファイルを書き換えるようなウイルスを仕込まれないためには「一般的なセキュリティ対策が重要」（星澤氏）である。「ウイルス対策ソフトを適切に利用する」「セキュリティ・ホールをふさぐ」「信頼できないファイルは開かない／信頼できないリンクはクリックしない」——などだ。

　また，DNSサーバーに虚偽の情報をキャッシュされた場合などに備えて，個人情報などを入力するページでは，SSLが使われていることを確認するとともに，ディジタル証明書の内容をチェックしたい。DNSポイズニング攻撃などを受けないように，DNSサーバーの管理者がきちんと対策を施すことも重要だ。

（勝村　幸博＝IT Pro）