ウイルス対策最前線

どうなる？ 2005年のウイルス・スパム・フィッシング

岡田 大助
2005/1/15

---

どうする？ 2005年のウイルス対策 　〜2005年の展望（1）

　3社とも2005年も2004年の傾向が続くと予測する。マスメーラー型ウイルスは、引き続きスパム業者との結び付きにより増加傾向にある。シマンテックの野々下氏は「スパムが増えたことにより受動的攻撃が効果的になってきた」と分析する。

　新たなセキュリティホールを突いたゼロデイアタックの数も増加するだろう。シマンテックの吉田氏は、「脅威の質が複雑になっている。攻撃パターンもバラエティに富んできており、単なるファイル感染型からネットワークに接続しただけで感染するものまでさまざま」と攻撃の複合化を懸念する。

　「プロアクティブな防御」というキーフレーズも2004年には盛んにいわれた。野々下氏は、「プロアクティブな防御だけですべてを防げるわけではないし、そもそもセキュリティのリスクをゼロにすることは不可能。しかし、リスクをいかに減らせるかという観点からすれば対策は必要だろう」という。すでにbotへの対策の部分でも書いたが、ファイアウォールのポリシーの見直し1つを取ってみてもプロアクティブな防御だといえる。野々下氏は、このような普段からの心掛けをきちんとやってほしいと希望する。

　トレンドマイクロの岡本氏は「非PC系へのウイルスが増えるのではないか」と予測する。2004年には携帯電話に感染するウイルスが警告された。また、POSやATMといった閉じたネットワークにもかかわらずウイルスが出現し始めている。さらに、インターネット経由で番組の予約録画ができるハードディスクレコーダーが踏み台にされるケースがあった。「情報家電にしてもネットワークにつながる以上、疑ってかかるべきだ」と岡本氏は警鐘を鳴らす。

　持ち込みPCによるネットワーク内部からの感染への対策も2005年には進みそうだ。マカフィーの加藤氏は、「2005年には検疫ネットワークが認知され、少しずつ導入が始まるだろう」と予測する。実際に導入するには社内のPCの基準を合わせたり、ネットワーク機器の入れ替えが発生したりと大変だが「ウイルス対策ベンダとしては絶対に導入してほしい」と語る。

　このほか、ネットワーク内部に防火壁的に設置するウイルス対策アプライアンスや、パーソナルファイアウォールの導入なども効果的だろう。「万が一ウイルス被害が発生してしまったとしても、ダメージを最小限に食い止められるような応急措置を準備しておくことが重要」（加藤氏）とのことだ。

日本語スパムも急増の気配 　〜2005年の展望（2）

　ウイルス作者の動機が金銭目的にシフトした背景にスパムメールの増加を挙げた。日本語の“迷惑メール”といえば出会い系サイトの勧誘が多く、英文スパムのような金銭の授受につながるようなものはまだまだ少ない（違法コピーソフトの詰め合わせ販売はさかんに行われているが日常で使うもの（＝消費者のパイが大きい）となるとどうだろうか）。

　個人情報保護法が施行されるとはいえ情報漏えい事故は多発しているし、“名簿屋”に行けば簡単に個人情報を買うことができる。個人情報にメールアドレスが含まれるのも日常的になってきた。このような状況から、日本語のスパムメールは増加するであろうことは想像にたやすい。

　シマンテックの吉田氏によれば、台湾ではある時期を境に突然母国語のスパムメールが急増したという。その結果、英文のスパムメールの割合が20％程度に低下した。「日本語のスパムメールが急激に伸びる可能性はある。日本でも近々にこの変化が起きてもおかしくない」（吉田氏）、「商売になると判断されれば、日本語スパムメールの増加は当然の結果」（野々下氏）と予測する。まだまだメールアドレスの収集（ハーベスティング）の段階だが、今後はフィッシングを含めた金銭目的のスパムメールが増加するだろう。

フィッシング詐欺は振り込め詐欺クラスに成長するか 　〜2005年の展望（3）

　スパムメールの亜種から1ジャンルへと成長したフィッシング詐欺について3社とも警戒を強めている。フィッシング詐欺は2003年ごろから米国を中心に話題になり、2004年後半には日本語のフィッシングメールも出始めた。しかし、その出来はまだまだ稚拙なものであり（例えば「クリック」を「かちりと鳴らしなさい」などと記述）、だまされる人は少ないだろう。しかし、実際に被害届も出されているなど予断を許さない状況だ。

　マカフィーの加藤氏は「傾向だけ見れば増加する。しかし、日本では爆発的にはこないのではないか」という。フィッシング詐欺を働くためには、フィッシングメールの送信だけでなくわなを仕込んだ偽サイトの構築が必要だ。日本語のメール、日本語の偽サイトを作成できるスタッフを引き込めるかどうかにかかっている。

　トレンドマイクロの岡本氏は「フィッシングはエスカレートしていくし、日本語のものも増える」と予測する。岡本氏の目の付けどころはなかなか面白く「スパイウェアに比べると『フィッシング』という名前に怖さがない。キーワードとして認知されていくかどうか不明」と、危機意識の浸透に危機感を持っている。「オレオレ詐欺（現在は振り込め詐欺が一般的）」は、その言葉に怖さはないものの目新しく（むしろ“耳”新しい？）、しかも詐欺の仕組みが分かりやすく表現されており、広く一般に危機意識が広まった。果たしてフィッシング詐欺という単語のままでいいのだろうか？

　シマンテックの野々下氏も「マーケットとして日本に魅力があれば増加する」と予測する。野々下氏はクレジットカードを狙ったフィッシング詐欺よりもオンラインバンクをかたったものをより警戒している。「クレジットカード会社の場合、ユーザーに過失がなければ損害を補償する制度がある。米国の銀行には50ドルルールがある。しかし、日本のオンラインバンクの場合、それがないのが非常に問題」と切り出す。

　米国の50ドルルールとは、カードの盗難などによる金銭的被害が発生しても2営業日以内に通知してあれば、ユーザーの負担が50ドルに収まるというもの。英国でも50ポンドルールがある。「日本の企業は消費者保護にもっと注力すべき」として、個人情報保護法対策やコンプライアンスに関する意識改革の必要性を説く。1月7日付の読売新聞によれば、金融庁が「預金者だけでなく銀行側にも被害額の一部を負担させる自主ルール作りを要請する方針を明らかにした」とのことだ。

　さらに具体的なフィッシング詐欺対策として、「オンラインバンクなどフィッシング詐欺のターゲットにされるところは2要素認証を導入すべき」と語る。現状ではユーザーIDとパスワードによる1要素認証が一般的だ。これはフィッシング詐欺だけでなく、botやキーロガーによる個人情報盗難に対しても効果的だろう。

3/3

Index
どうなる？ 2005年のウイルス・スパム・フィッシング
	Page1 ウイルス戦争勃発 密かに忍び寄るbotと呼ばれるプログラム ウイルス作者がビジネスライクになってきた
	Page2 現実のものとなったゼロデイアタック スパイウェアは新たな脅威？ 日本独自のウイルスが悪質に
	Page3 どうする？ 2005年のウイルス対策 日本語スパムも急増の気配 フィッシング詐欺は振り込め詐欺クラスに成長するか

Security&Trust記事一覧

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）