スパイウェアに隠れた脅威

IT

この夏、日本国内で発生した不正引き出し犯罪を扱ったITmediaの記事『「防ぎようがなかった……」、ネット銀不正引き出しの被害者語る』で明らかにされた、“顧客を装った問合せメールを送って添付ファイルをクリックさせる"という手口。

人間の心理を突いた巧妙な手口に、思わず「敵ながら天晴」と唸ってしまった。

そんなこんなでスパイウェアを使った手口は巧妙化する一方。インターネットカフェなどで「公衆端末にキーロガーを仕込んで情報を盗む」なんて不特定多数をターゲットにした古典的な手法はもはや誰も使っていないらしい。

敵は思った以上のスピードでレベルアップしているのが、今月に入って明らかになった「銀行を装ってユーザーにCDを送り付け自らにインストールさせてしまう」という大胆な手口からもその傾向は一層顕著になってきた気がする。

日経ITProの記事勝手に送金する悪質なCD-ROMが再び確認，今度は北陸銀行をかたるの

今回の事件では，悪質なCD-ROMを送信後，銀行員をかたる偽電話でユーザーに振込をするよう誘導している。偽の銀行員に従ってユーザーが少額の振込をおこなうと，それとは異なる振込処理が知らない間におこなわれていたという。

という一節で、いわゆるソーシャルエンジニアリングに類するテクニックが併用されている事がわかる。

取引先銀行を装う事で騙され易くなるし、ターゲットが法人や業者ならば一度に引出せる金額も大きくなる。なにげない情報でもうまく活用すれば効果は絶大だ。

INTERNET WatchのCD-ROMとCD-Rを見分けるリテラシーで書かれた一節、

これからの世の中は、本物とそうでないものを見抜く確かな眼、いわばリテラシーがますます求められるようになるだろう。でも、毎朝ポストに投函される朝刊が本物であることは誰が証明できるだろうか。朝起きて、TVをつけたときに映し出される番組が、本当に放送局によるオフィシャルなものかどうかを証明できるだろうか。TV番組は大量生産されたチューナが受信するものなので、放送番組を偽装して受信させるのは難しそうだが、特定の個人宅のポストに投函された新聞のページを入れ替えるくらいならできてしまいそうだ。

がイヤに現実味を帯びて見えた。

CD-Rをバリバリ焼いているようなマニアや専門家ならともかく、CD-ROMかCD-Rかなんて一般人は注意しないだろう。一概にCD-ROMなら大丈夫でCD-Rだから怪しいと言い切るのも危うい。それ以前に郵便物自体の真偽をも確認する必要がある。例えば、「オンラインバンキングのURLが変りました」とかいうハガキ一枚で騙せれば、偽サイトでパスワードを入力させる事なんて簡単だ。新聞でも別冊やチラシを紛れ込ませたり、TV番組でもケーブル配信のマンション等だったら意外と簡単に細工できると思う。

**「取り敢えず疑ってかかれ」**がセオリーとなってしまったインターネットの世界を嘆いているうちに、気が付けば現実社会も負けずにイヤな世の中になりつつある。やっぱり信ずるものは騙される、のか？

参照

ITmedia http://www.itmedia.co.jp/

日経ITPro http://itpro.nikkeibp.co.jp/

INTERNET Watch http://internet.watch.impress.co.jp/