APWG事務局長が指摘する手口の変化

現行のフィッシング対策はエンジニアの「机上の空論」？

2008/02/06

　フィッシング詐欺の件数は横ばいかやや減少傾向にあるが、その手法や質には明らかに変化が見られる――フィッシング対策を目的とした米国の業界団体、Anti-Phishing Working Group（APWG）の事務局長を務めているピーター・キャシディ氏が来日し、最近のフィッシング詐欺の傾向について語った。

　APWGによると、フィッシング詐欺の届出件数自体は、2007年9月から11月にかけて連続して減少した。しかし、より確実に個人情報を盗み取るために、手口に変化が見られるという。

Anti-Phishing Working Group（APWG）の事務局長、ピーター・キャシディ氏

　その一例が、一般的な消費者の代わりに、企業の機密情報や財務情報にアクセス可能な、財務部門などの職に就いている人物に狙いを定めたターゲット型のフィッシング詐欺だ。また、小規模な銀行の顧客に狙いを定め、あらかじめ把握しておいた名前などの情報をメールの中に織り込むことでもっともらしく見せかけ、詐欺の成功率を高めるケースも報告されている。

　かつては日本語をはじめとする英語以外の言語は、フィッシング詐欺を防ぐ一種の「障壁」となっていた。しかしそれも「相手が本気になれば変わるだろう。語学力のある人を雇い、それらしい文章になるよう監修させるくらいのことはやってくる可能性がある」とキャシディ氏は述べた。

　以前からフィッシング詐欺については、人をだますソーシャルエンジニアリングのテクニックに加え、キーロガーやトロイの木馬といったマルウェアとの連携が指摘されてきた。そのつながりはますます強まっているという。

　「この数年で、マルウェア開発者の本質が根本的に変わった。数年前は個人情報や金銭関連情報を盗み取ろうとするマルウェアの比率は、全体のうちほんの数％に過ぎなかったが、2005年には50％、2007年には70％を超えるに至っている」（同氏）

　今や、組織犯罪とつながった「e-クライム経済圏」とでもいうべきものができあがっており、マルウェアの開発、ゼロデイ脆弱性の情報などがやり取りされている。また、フィッシングメールの文面を、その言語を母語とする人にとっも不自然でないように翻訳する人々、マルウェアやメールをばらまくためのサーバやネットワークといったインフラを用意する人間もおり、「その経済圏は今も広がっている」とキャシディ氏は警鐘を鳴らした。

高度化するフィッシング詐欺への対策は？

　手口が高度化、巧妙化しているフィッシング詐欺対策の基本は、やはり強固な認証になるだろうとキャシディ氏は述べた。

　ただ、現在のテクノロジの多くは「技術者の頭の中では完璧でも、エンドユーザーによる実際の使われ方を無視したものになりがちだ。コンシューマーの頭の中とエンジニアの頭の中はまったく違う。その部分をしっかり考え、人の一般的な振る舞いを踏まえたユーザビリティを実現しなければ、独りよがりのエンジニアリングに終わってしまうだろう」という。

　同氏が1つの例として挙げたのは、ほとんどのWebブラウザが実装している「鍵マーク」だ。これは暗号化通信が行われていることを示す表示だが、画面の外枠（Webブラウザの枠）に表示されるのが正しい姿だ。しかし、ある大学の調査によると、鍵マークがWebコンテンツの中に表示されているだけでも、「安全だ」ととらえてしまうユーザーが多かったという。

　「よく『どうしたら身を守れるだろうか』と尋ねられるが、コンシューマーに対して『ではアクセスしたら電子証明書を開いて、その内容を比較し確認して……』というのは、まるで車を運転するのにエンジン技術者でなければいけないと言っているようなもの。銀行のATMのPIN番号のように、シンプルに使える仕組みが必要だ」（キャシディ氏）

　こうした現状を踏まえAPWGでは、「ユーザーに対する教育の印象が最も強くなる瞬間に注意するという手法を模索している。例えば、ISPと協調し、フィッシングサイトをただ閉鎖するだけでなく、そのサイトへのリンクをクリックしたときに『このサイトは閉鎖されました。なぜならばフィッシングサイトだからです。身を守るにはこういった点に注意しましょう……』という文面を表示させる取り組みについて話し合っている」という。

　「今いろいろな問題が起こっているが、それも短期間のうちにあまりにいろいろなテクノロジが導入され、成熟していないせいだろう。通信販売が登場した1970年代～80年代に、あるいはATMが登場した当初にさまざまな犯罪が生まれては、対策が講じられてきたのと同じように、最終的には、解決に向かうと期待している」（同氏）