サイバー犯罪者が、個人データを盗み出すための詐欺行為において、不適切にプログラミングされたある米政府ウェブサイトを悪用し、米国税庁(IRS)になりすましていると、セキュリティ専門家が警告している。
手口としては、1通のスパムメールが世界中に送信されるところから始まる。そのメールは、IRSが支払う租税還付金571ドル94セントの受取資格があることを通知し、偽のIRSウェブサイトへのリンクを記載している。ただし、そのリンクの接続先は、Bush大統領が10月限定で宣伝をしていたある本物の政府ウェブサイトを経由する仕組みになっている。
「これは典型的なフィッシング詐欺よりも高度だ。リンクをクリックすると、まずは本物の租税還付ウェブサイトに接続するからだ」と、英セキュリティベンダーSophos のGraham Cluley(シニアテクノロジーコンサルタント)は述べた。「残念ながら、フィッシング詐欺師らは、同政府ウェブサイトの構成方法を悪用することで、被害者に警戒心を抱かせることなく偽のウェブサイトへのリダイレクトを可能にしている」(Cluley)
このフィッシングメールに記載されたリンクの接続先である偽のIRSウェブサイトでは、セキュリティコードや個人識別番号を含む社会保険番号、税務還付申告コード、クレジットカードなどの詳細な情報を要求される。
この詐欺はGovBenefits.govウェブサイトのいわゆる「オープンリダイレクト」を悪用している。オープンリダイレクトを使うことで、素人目には政府サイトに接続するリンクのように見えるが、実際には他のウェブにリダイレクトするリンクを作ることができる。例えば、下のリンクはCNET News.comにつながる。
GovBenefits.govウェブサイトを管理する労働省の関係者は米国時間29日、問題に気づいた政府は、修正するよう対応を始めていると述べた。
この記事は海外CNET Networks発のニュースを編集部が日本向けに編集したものです。海外CNET Networksの記事へ
CNET Japanの記事を毎朝メールでまとめ読み(無料)
ZDNET×マイクロソフトが贈る特別企画
今、必要な戦略的セキュリティとガバナンス
ものづくりの革新と社会課題の解決
ニコンが描く「人と機械が共創する社会」
「程よく明るい」照明がオフィスにもたらす
業務生産性の向上への意外な効果