ネットワーク・セキュリティー講座

第3回 「ファーミング詐欺」

(2005/10/14)

「釣り」から「農業」へと変わった詐欺の手口

インターネットや電子メールを悪用したオンライン詐欺の代表的な手口の1つに「フィッシング詐欺」があります。フィッシングとは、文字通り「釣り」の意味です。フィッシング詐欺の手口についての詳細な解説はここではしませんが、ようするにインターネットや電子メールを巧みに悪用して詐欺にひっかかりそうな人を「釣り上げ」、クレジットカード番号、銀行の口座番号、ID、パスワードなどの重要な情報を盗みだしてしまうことからフィッシング詐欺と呼ばれているのです。

さて、そのフィッシング詐欺をさらに進化させた新手の手口の詐欺も最近、話題になっています。「ファーミング詐欺」です。「ファーミング」とは、「農場を作る」あるいは「（農場で）栽培する」といった意味です。どんなオンライン詐欺の手口なのか、そのイメージをわかりやすく説明すると、次のようになります。まず、インターネットの世界に「オンライン詐欺」の「種」を蒔き、その種が成長して「収穫できるようになるまで待つ」。そして十分に成長したところで「収穫する」のです。「収穫する」ものは、クレジットカード番号、銀行の口座番号、ID、パスワードなどの重要な個人情報である場合が多いのです。具体的にはどんな手口になるのでしょうか。

ウイルスやワームで「種を蒔き」収穫を待つ

ファーミング詐欺の具体的な手口を理解するため、フィッシング詐欺と比べてみましょう。フィッシング詐欺は、「あなたの銀行口座から不正にお金が引き出されました。至急確認してください」といった「偽の電子メール」＝「釣りのエサ」を送りつけます。そのメールには偽サイトへのURLが記されていて、騙された人は、あわててその偽URLのサイトにアクセスして口座番号やID、パスワードを入力してしまい、それらがまとめて盗まれてしまうのです。つまり、偽の電子メールという「釣りのエサ」が送られてくるのです。

一方、ファーミング詐欺では、偽の電子メールは送られてきません。その代わりに、重要な情報を盗むための「偽のWebサイト」に誘導する「種を蒔く」のです。その種とはウイルスやワームの場合もあります。特殊なウイルスやワームを「インターネットの世界という農場にいる不特定多数」に大量にばら蒔きます。その種が成長し、パソコンにしっかりと感染すると、そのパソコンからインターネットにアクセスした場合に知らず知らずのうちに普段利用している銀行やオンラインショップではなく、それらと「本物そっくりに作られた偽のWebサイト」に誘導されてしまい口座番号、パスワード、クレジットカード番号などの情報が盗まれてしまうという仕組みです。ウイルスやワームにより、WebサイトのURLをIPアドレスに変換する際に利用される「hostsファイル」が書き換えられてしまい、正しいサイト名を入力したにもかかわらず、偽のサイトに誘導されてしまうのです。また、ウイルスやワームではなく、利用しているDNSが不正にコントロールされてしまい、正しいURLを入力しても偽のIPアドレスに変換されていまい、偽のサイトに誘導されてしまうといったこともあります。ウイルスやワームといった種を蒔いた後、DNSを不正にコントロールした後には「偽のサイトにやってくる人」という「収穫物」を待てばいいのです。

個人情報の入力は慎重の上にも慎重さを

インターネットの世界に不正な種を蒔き、「偽のサイトへの誘導」という収穫物を得るファーミング詐欺。「種」さえ蒔いておけば、つまりはうまい具合に「仕掛け」をしておけば重要な情報を「収穫」できるのです。それでは、そんな詐欺にかからないための自衛策にはどのようなものがあるのでしょうか。

フィッシング詐欺もファーミング詐欺も手口の巧妙さに目を奪われてはいけません。手口がどう優れていようと、狙われているものは、クレジットカード番号だったり、口座番号だったり、IDやパスワードなどの重要と思われる個人情報なのです。そこで、インターネットを利用する際には、最低限、注意しておきたい事柄を記しておきます。

まず、ファーミング詐欺の場合には、アドレスバーに「正しいURLが表示されている」ように見える場合が多いので、重要な個人情報を入力する際にはURLの確認を忘れずにしましょう。個人情報を入力するための画面のURLが「http://」の場合は要注意です。通常は「https://」に変わっているはずです。また、 URLが「http://」ではなく「https://」となっている場合でも、たとえば「このセキュリティー証明書は信頼する会社から発行されていません」とか「セキュリティー証明書の名前が無効であるか、またはサイト名と一致しません」といった警告メッセージが表示された場合には注意しましょう。多くの場合は、偽サイトにおいて「サーバがトラブルになったため、再度、個人情報の登録をお願いします」などといった理由から入力を促すことが多いのです。ですから、たとえば銀行などの場合には、本当にそのようなトラブルがあったのかどうかを確認するなどして、個人情報の入力には慎重になることをおすすめします。

重要な個人情報を入力する際にはURLの確認を忘れずにしましょう

警告メッセージが表示された場合には注意しましょう