第5回:認証情報の不正取得とフィッシング詐欺 (2/3)

安全なウェブサイト
安全なWebサイトの作成ガイド

第5回:認証情報の不正取得とフィッシング詐欺
著者:独立行政法人 情報処理推進機構セキュリティセンター
2006/2/28
前のページ  1  2   3  次のページ
フィッシング詐欺を助長しないための対策

   フィッシング詐欺とは、悪意のある人が、金融サイトやショッピングサイトなどを装った偽のWebサイトに利用者を巧みに誘導し、利用者の認証情報やクレジットカード番号などを不正に取得するものです。

   フィッシング詐欺の回避には、利用者側の注意が必要ですが、Webサイトの運用によっては、利用者の注意を妨げ、結果としてフィッシング詐欺を助長してしまう可能性があります。
フィッシング詐欺
図2:フィッシング詐欺
(画像をクリックすると別ウィンドウに拡大図を表示します)

   Webサイト利用者がフィッシング詐欺の被害に遭わないためには、利用者自身がアクセスしたWebサイトを注意深く確認し、本物のWebサイトかどうかを見極める必要があります。

   利用者が本物のWebサイトであることを正しく確認できるよう、次の内容をご検討ください。

  • Webサーバの電子証明書を取得し、サイト運営主体の実在性の証明をする
  • WebページのURL情報を表示する
  • フレームを利用する場合、子フレームのURLを外部パラメータから生成しないように実装する

表2:フィッシング詐欺を助長しないための対策

前のページ  1  2   3  次のページ

安全なウェブサイトの作り方 - ウェブアプリケーションのセキュリティ実装とウェブサイトの安全性向上のための取り組み

2006年1月31日にIPAは、ウェブサイト運営者がウェブサイト上で発生しうる問題に対して、適切な対策ができるようにするため、「安全なウェブサイトの作り方」を取りまとめ公開いたしました。

本記事は、その報告書の転載です。詳しい内容に関しましては、以下のURLをご参照ください。

安全なウェブサイトの作り方
http://www.ipa.go.jp/security/vuln/documents/2005/website_security.pdf

脆弱性関連情報に関する届出について
http://www.ipa.go.jp/security/vuln/report/index.html

IPA(独立行政法人情報処理推進機構)
http://www.ipa.go.jp/index.html

IPA/ISEC(独立行政法人情報処理推進機構セキュリティセンター)
http://www.ipa.go.jp/security/index.html

独立行政法人情報処理推進機構セキュリティセンター
著者プロフィール
独立行政法人 情報処理推進機構セキュリティセンター
情報処理推進機構セキュリティセンター(IPA/ISEC)は、わが国において情報セキュリティ対策の必要性・重要性についての認識を啓発・向上し、具体的な対策実践情報・対策手段を提供するとともに、セキュアな情報インフラストラクチャ整備に貢献することをミッションとしています。


INDEX
第5回:認証情報の不正取得とフィッシング詐欺
  パスワードの不備
フィッシング詐欺を助長しないための対策
  Webサーバの電子証明書を取得し、サイト運営主体の実在性の証明をする
安全なWebサイトの作成ガイド
第1回 Webアプリケーション開発者が知っておくべきセキュリティ
第2回 OSコマンド・インジェクションとクロスサイト・スクリプティング
第3回 セッション・ハイジャック、パス名パラメータを悪用したファイル参照、メールの第三者中継
第4回 Webサイトの安全性向上のための取り組み - 運用レベルでの解決や対策
第5回 認証情報の不正取得とフィッシング詐欺

人気記事トップ10

人気記事ランキングをもっと見る