オンライン・セキュリティの勘所第1回

フィッシング詐欺はメジャーな攻撃手法

振り込め詐欺ほどではないにせよ、フィッシング詐欺という言葉を耳にしたことがないというインターネット・ユーザーは少ないだろう。中には、むしろフィッシング詐欺のほうが、なじみがあるという方もおられるかも知れない。

国内で最も古いフィッシングの事例は、今から5年前の2004年にさかのぼり、以来途絶えることなく発生している。フィッシング（Phishing）という呼び名の由来が被害者を釣るという意味の「Fishing」であることはよく知られているが、その手口のバリエーションも実際の「釣り」に勝るとも劣らず実に多種多様である。

フィッシング詐欺は4ステップで現金を奪取する

　図2に、最も初歩的なフィッシング詐欺の手口を図示する。フィッシング詐欺とは、基本的に次の4段階で構成する。

（1）偽のメールなどを送って被害者を誘う”餌”をまく
（2）“餌”に飛びついた被害者を、情報を詐取するための偽のサイトに誘い込む
（3）被害者から現金化可能な情報を詐取する
（4）詐取した情報を現金化する

最も典型的なフィッシング詐欺はオンライン・バンキングの利用者を狙ったもので、最終的に被害者の口座から現金を盗み出すことを目的としている。しかし、フィッシング詐欺攻撃の標的は、なにもオンライン・バンキングに限らない。以下のような目的を果たすために、フィッシング詐欺が行われることも少なくない。

・盗んだクレジット・カード情報を使って、ショッピング・サイトで高価な商品を購入した上で、売却して現金化する
・オンライン・ゲームで他人のログイン情報を使ってログインし、ゲーム内通貨を勝手に現金化する

次ページでは、多様化／巧妙化するフィッシング詐欺の手口を紹介する。