＠ITセミナー、再び大阪へ！

生粋のハッカーに学ぶ、メールの攻め方守り方

宮田　健
＠IT編集部
2009/1/5

スパム対策、ウイルス対策をすでに行っていたとしても、メールセキュリティに終わりが見えないのはなぜだろうか。2008年12月2日に開催された「メールセキュリティセミナー2008 in 大阪」での基調講演の様子をレポートしよう（編集部）

---

　メールを突破口にする攻撃者たちとの攻防戦

　電子メールは最もビジネスで利用されているアプリケーションであり、すでにメールアドレスは全社員に割り当てられているだろう。それだけに、メールという手段は攻撃者にとって最も利用しやすく、間口の広い攻撃ポイントとなっている。

　古くはメールに添付された悪意あるプログラムによってウイルスに感染させるなどの攻撃手法が取られていたため、「怪しい添付ファイルは開かない」が最大の防御であった。しかし現在は心理的なわなを仕掛け、たくみにユーザーの行動を促す受動的攻撃が主となっており、対処方法も変わりつつある。そのような現在のメール脅威に対して、「生粋のハッカー」であるペネトレーションテスターはどのように考えているのか。

　2008年12月2日、梅田スカイルーム（大阪府）にて開催された「メールセキュリティセミナー2008 in 大阪」（主催：アイティメディア株式会社 ＠IT編集部）において、「セキュリティ対策のある視点」を連載するNTTデータ・セキュリティの辻伸弘氏による「スパムにウイルス ボクならこう攻める」と題した基調講演が行われた。その様子をレポートしよう。

　本当は恐ろしいオープンリダイレクタ脆弱性

NTTデータ・セキュリティ 診断ビジネス部 ネットワーク診断グループ 課長代理 辻 伸弘 氏

　迷惑メールを送る“スパマー”はなぜ大量にメールを送信するのか、これについて辻氏は「彼らの目的はクリックさせるため」と述べる。迷惑メールの表現には商品名やサービスなどをそのまま記載するものや、知人を装うものなどがあるが、そのパターンの中で最も気を付けるべきは「フィッシング」だ。フィッシングは特にURLをクリックさせるためのテクニックに注力しており、それが個人情報詐取に直接つながるものであるからだ。

　フィッシングを狙ったメールは、信頼あるサイトを模した偽のサイトへ誘導したり、メール自体にログインフォームを用意し、不正に個人情報を取得するようなものもある。これらに共通する特徴は「見慣れているものならば安心して情報を入力してしまう」ということだ。そのため、フィッシング攻撃を仕掛けるものは送信者メールアドレスや、表示上のURLを詐称するというテクニックを使う。

　その中で利用されるテクニックの1つが「オープンリダイレクタ脆弱性」を利用したものだ。リダイレクタとは引数としてある特定のURLを入力すると、そのページへジャンプさせる単純なWebアプリケーションだ。例えば広告バナーのクリック数をカウントするような場合で利用することが多く、例えば広告主のサイトのURLを引数として渡し、クリックするとそのURLにリダイレクトする。ここで引数のURLを任意のものに変更できてしまうと、悪意あるサイトへと誘導ができてしまう。

図1　オープンリダイレクタ脆弱性の挙動 図中のr.phpは引数で指定されたURLへリダイレクトするアプリケーション。その指定URLを任意のものに書き換えても動作してしまうのがオープンリダイレクタ脆弱性となる。

　この脆弱性の問題点は、見かけ上のURLのドメイン部分は信頼できるものであるが、クリックしたときには別のドメインにリダイレクトしてしまうため、一目見ただけでは「怪しいURL」と判断できないことだ。注意すべき引数部分はURL文字列の最後の部分となるため、メールクライアントによっては表示が省略される可能性もある。

　セミナーではオープンリダイレクタ脆弱性のデモも行われ、単純な方法で誘導先サイトを変更できてしまうことが体験できた。この脆弱性を解消するための方法も単純で、あらかじめリダイレクトする先のドメインをホワイトリスト方式で登録し、それ以外のドメインについてはリダイレクトしないよう制限することで対策できる。

1/2

Index
生粋のハッカーに学ぶ、メールの攻め方守り方
	Page1 メールを突破口にする攻撃者たちとの攻防戦 本当は恐ろしいオープンリダイレクタ脆弱性
	Page2 見れば分かる――つまり、見ないと分からない 攻撃側が有利、だからこそ彼らの手法を知るべし 人＋技術の力で「めっちゃ気をつける」

Security&Trust記事一覧

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）