オンラインゲーム「スクウェア・エニックス」のアカウントをだまし取ろうとするフィッシングが、今年4月から続いている。先週からは若干手法を変え、国内の不特定多数のユーザーのもとに、大量の偽メールを送りつけている。偽サイトは、7月22日午後現在も稼働を続けており、引き続き警戒が必要だ。
海外のオンラインゲームのアカウントを狙い、執拗にフィッシングを仕掛けている中国のグループは、時おり国内のオンラインゲームにも食指を動かす。4月から標的にされているのが、ドラゴンクエストやファイナルファンタジーなどの人気ゲームを提供する、スクウェア・エニックスのアカウントだ。
■フィッシングメールは日本語、誘導先の偽サイトは英語
送られて来るフィッシングメールは日本語仕様で、「アカウントに異常なログインがあった」、あるいは「不審なアクセスを検知した」「他社での会員情報が流出した」などの様々な理由をつけて、記載したリンクをクリックさせようとする。リンク先は、一見すると正規のURLが記載されているように見えるが、実際には別のURLを埋め込んだHTML形式のメールになっており、クリックすると偽サイトへと誘導される。誘導先の偽サイトが英語のログインページという不自然な作りであるため、ここで踏み留まる方も多いだろう。確実な見分け方は、正規サイトは「EV SSL」に対応し、「https:」でしか接続できないという点で、本物と偽物の決定的な違いだ。
★正規サイトURLは「https:」で始まる：「EV SSL」は、そのサイトが同社が運営する正規のサイトであることを証明する証明書のことで、本物のサイトにアクセスした場合には、ブラウザのアドレスバーの横に「SQUARE ENIX Co., LTD.」と、同社の社名が表示される。同社のログインページは、このEV SSLを使った暗号化通信でしか接続できないようになっている。したがって、アドレスバーのURLは「http:」ではなく、必ず「https:」で始まる。EV SSLであることを押さえておけば、同社の偽サイトにだまされることはない。代表的なブラウザでの実際の表示例は、下記のトピックスを参照していただきたい。
■偽サイトに使われるフィッシングの定番手口
一連のフィッシングでは、偽サイトが英語ページのコピーという欠点があるものの、URLにユーザーを欺く代表的な小技がいくつか使われているので紹介しておこう。
(1)TLDを変えたドメイン
ドメイン名の「.」で区切られた最後の部分（右端）をトップレベルドメイン（TLD：Top Level Domain）という。「.com」「.net」「.jp」などがそれだ。フィッシングでは、本物とは別のTLDで同じ名前のドメイン名が第三者に取得され、偽サイトに使われることがある。今回の一連のフィッシングでは、本物の「square-enix.com」に対し、5月の攻撃では「square-enix.pw」が、6月の攻撃では「square-enix.cc」が使われた。
(2)綴りを変えたドメイン
「i」「l」「1」のようなよく似た文字を置き換えたり、文字の欠落、文字の重複、「w」を「vv」で代替などのやり方で、識別しにくい紛らわしいドメインを作成する。これもフィッシングでよく使われる手法だ。一連の攻撃では、4月の攻撃に本物と同じTLDの「square-enlx.com」や「square-enjx.com」が、6月以降は、異なるTLDで「square-enjx」「square-enixx」「square-eniix」「square--enix」などが使われた。
(3)既存のドメインに本物の名前を組み込む
これまでの手法は、ドメインを取得しなければならず手間がかかるため、実際に行われるフィッシングの事例は、全体からみるとごく少数である。偽サイトの多くは、そこまで手の込んだことはせず、URLの一部にそれらしい名前を組み込む程度で済ませている。
ホスティングサービスなどを悪用した偽サイトでは、サービスが提供しているドメインにそれらしい名前を付けた、「本物の名前＋サービスのドメイン名」というパターンのものがよく使われる。ホスト名を自由に操作できない一般サイトを悪用した偽サイトでは、それらしい名前を付けたフォルダを作成し、そこに偽サイトを設置するという手法も使われる。
今回の一連のフィッシングを仕掛けているグループは、海外のオンラインゲームのフィッシングで使用していた、大量のドメイン名を所有しており、今月からこの手法によるホスト名の大量投入を開始した。具体的には、「●●ok.asia」や「●●go.asia」（●●は英2文字のバリエーション）といった、取得済みのドメイン名の頭に「secure.square-enix.com」を追加したものが大半を占めており、この1週間で、このタイプのホスト名が40近くも使用されている。
■3基のサーバーが稼働中
大量のドメイン名やホスト名が使われると、偽サイトが次々に出現し、フィッシングが激化したかのように見える。ところが実際には、大量にある誘導先の偽サイトのほとんどは、中国に設置された同じサーバー上で運用されているのが現状だ。手口が変わっただけで、フィッシングの規模は、これまでとそう変わらない。
現在、偽サイトをホスティングしているのは、ほかに中国の別のサーバー1基と、日本国内のISP回線を使ったサーバー1基が確認されている。22日午後現在、これら3基は、いずれも稼働中だ。攻撃者は、今回の攻撃に使用していないドメインを、まだ大量に保有しており、誘導先やサーバーを変えて、今後も攻撃が続く可能性がある。ログイン時には、EV SSLの暗号化通信であることを必ず確認するよう心がけていただきたい。
同社では、セキュリティ向上のために、ワンタイムパスワードによるログイン方式も提供している。これは、通常のIDとパスワードのほかに、トークン（パスワードを生成する機器）やスマホの専用アプリが自動生成する、コードの入力を必要とするログイン方式だ。自動生成されるコードが一定時間ごとに変わるため、通常のフィッシングやアカウント情報の流出などによる不正ログイン対策として、大きな効果が期待できる。利用可能な方は、検討してみることをお勧めする。
（2013/07/22 ネットセキュリティニュース）
【関連URL】
・[重要]フィッシング詐欺にご注意ください（ドラゴンクエストX 目覚めし五つの種族 オンライン）
http://hiroba.dqx.jp/sc/news/detail/6cd67d9b6f0150c77bda2eda01ae484c/
・フィッシング詐欺サイトへ誘導するメールにご注意ください（SQUARE ENIX）
http://www.jp.square-enix.com/info/130708_phishing.html
・本日(7/19)「スクウェア・エニックスアカウントーー安全確認」といった件名でフィッシングメールが多く出回っているようですのでご注意ください。（Twitter）
https://twitter.com/antiphishing_jp/status/358021607773573120
