Tweet

RSAセキュリティが警告「金融機関以外もターゲットに」

大学ポータルもフィッシング詐欺の標的に

2010/02/24

　RSAセキュリティは2月24日、フィッシング詐欺の動向に関する説明会を開催した。同社マーケティング統括本部 プロダクトマーケティングマネージャの水村明博氏は、2010年の傾向として、従来フィッシング詐欺の主なターゲットとなってきた金融機関だけでなく、大学や一般企業も標的になりつつあると述べ、注意を促した。

　RSAセキュリティのオンライン不正対策指令センター、AFCC（RSA Anti-Fraud Command Center）によると、2010年に入ってからすでに9件、米国の大学のポータルサイトを装ったフィッシング詐欺が確認されたという。

　これらフィッシング詐欺サイトの見た目は、大学が学生向けに提供しているポータル／Webメールサイトそっくりだった。しかしアドレスバーに表示されるURLはまったく異なり、米国外に置かれたサーバであることが一目瞭然という代物で、「比較的稚拙な手口といえる。しかし、意外とアドレスを確認しないユーザーも多い」（水村氏）。

　これら学生を狙ったフィッシング詐欺は、一般的なフィッシング詐欺と同様に、個人情報を盗み出して金銭的な利益を得ることを目的としている。だが同時に、新たな攻撃の足がかりとして活用する狙いもあると見られる。

　例えば、「信頼できる大学のドメイン」であることを逆手にとってスパムメールの配布に利用したり、学生のPCや大学の共用コンピュータを取り込んで、マルウェアを配布する拠点として悪用するといったものだ。また、オンライン詐欺では犯罪者が直接、被害者から金銭を詐取するケースは少ない。追跡の手を逃れるため、「ミュール」と呼ばれるマネーロンダリング口座を経由することが多いが、そのミュールのリクルートに使われる可能性もあるという。

　「大学では学生向けのセキュリティ教育があまりなされていない。価値の高い情報をもっていながら、セキュリティ対策は遅れている。今年は金融機関だけでなく、あまり対策がなされていない大学や、ヘルスケア業界などの一般企業が狙われる可能性が高い」と水村氏は指摘。セキュリティ教育の実施やベストプラクティスの導入といった対策を取るべきだと述べた。