セキュリティ専門家ら、パーソナライズされたフィッシング攻撃に警鐘

　スパム業者やフィッシング業者が、より効率的な攻撃を仕掛けるために、ターゲットとなり得るユーザーの情報を収集し始めている。

　セキュリティ企業Blue Securityが今週発表した調査レポートによると、攻撃者は、パスワード確認や登録のために電子メールアドレスを利用しているウェブサイトを標的としているという。そのため、こうしたサイトから個人情報が流出する可能性があると、同社は言う。

　同レポートには、スパム／フィッシング業者が、ウェブサイトの登録やパスワード確認用のツールを利用して、何千もの電子メールアドレスをチェックしていると記されている。多くのオンライン企業は、みずからのサイトに新たな電子メールが登録された場合、所定のメッセージを登録向けに表示する。このことから、攻撃者は任意のアドレスが正規の顧客のものかどうかを知ることができるのである。

　攻撃者はこうして多数のウェブサイトから情報を収集し、それをもとに悪質な電子メールをターゲットに送りつける。インターネットユーザーにとって、こうした偽のメールや詐欺に関係するメッセージを、攻撃者から送りつけられたものだと見分けるのは容易ではない。また専門家は、カスタマイズされたメッセージは、スパムフィルターでも検知が困難だと指摘している。

　Anti-Phishing Working Group会長のDave Jevansは、「このところ、攻撃者は、攻撃対象の狙いを絞るようになってきた。また個人に送りつけられるメールもパーソナライズされたものになっている」と述べている。近頃の詐欺メールには、氏名や電子メールアドレスはもとより、受信者に関する情報も記載されるようになっているという。

　フィッシングとは、ユーザーネームやパスワード、クレジットカード番号といった機密性の高い情報を、メール受信者から盗み出そうとする行為。盗まれた情報は、第三者に売却されるか、なりすましに悪用される。通常のフィッシング攻撃には、スパムメールと、正規のサイトに見せかけられた偽のウェブページが用いられる。

　攻撃者は通常、みずから作成したり、購入したり、あるいは、収集ツールを使いオンラインで集めたりした電子メールアドレスのリストを所有している。

　登録／パスワード確認用の電子メールが悪用されやすい理由は、企業によるユーザーへの回答方法にある。オンライン企業の大半では、自社のウェブサイトに電子メールが登録されると、「このアドレスはすでに登録済みです」などのような定型的なメッセージをユーザーに返している。攻撃者にとって、こうしたメッセージは、そこに記載されたアドレスが正規顧客のものであるという証拠になるのだ。

　サイバー犯罪者らは、任意の電子メールアドレスが登録されているウェブサイトを参照することで、そのアドレスのユーザーの性別や性的な嗜好、政治思想、所在地、趣味、買い物をしたことのあるオンラインストアといった情報を探り出していると、Blue SecurityのCEOであるEran Reshefは警鐘を鳴らしている。

　「自分が登録したことのあるあらゆるウェブサイトを、誰かに把握されていると想像してみてほしい。そこから人は何を推測することができるだろうか。実際のところ、こうした情報すべてを1つにすると、任意の人物に関する断片的な事実どころか、非常に詳細なプロフィールができあがるのだ」（Reshef）