国内のオンラインゲームのアカウントを狙い、執拗なフィッシングを仕掛けていたグループが、ターゲットをオンラインバンキングに絞り、攻撃を続けている。銀行やフィッシング対策協議会だけでなく、警察庁からも注意喚起が出されている。
フィッシングを仕掛けているグループは、これまでは「スクウェア・エニックスアカウントーー安全確認」や「ドラクエ10ーー安全確認」などの件名のメールを送り付け、オンラインゲームのアカウントを詐取する偽のサイトへと誘導していた。今月16日からは、これに「WebMoneyーー安全確認」や「三菱東京ＵＦＪ銀行ーー安全確認」という件名で、それぞれの偽サイトへと誘導するメールが加わった。
■「WebMoney」と「三菱東京ＵＦＪ銀行」かたるフィッシング
「こんにちは！」という驚愕の書き出しで始まる稚拙な日本語のメールは、サービス名とリンク以外はどちらも同じ内容だ。ユーザー番号の調査と称し、使用停止になっているかどうかをチェックするとして、記載したリンクをクリックさせようとする。HTML形式のメールを使用しているため、リンクの見た目は公式サイトのURLに見えるが、実際には偽サイトへと誘導するURLが埋め込まれている。
誘導先の偽サイトは、国内のプロバイダーが提供するアクセス回線上に開設された、スクウェア・エニックスの偽サイトと同じサーバーを使用しており、「WebMoney」のフィッシングでは、ウォレットIDとパスワード、クレジットカード情報（カード番号、名義人、有効期限、セキュリティコード）を入力させようとしていた。「三菱東京UFJ銀行」のフィッシングでは、契約者番号とIBログインパスワードに加え、17日まではメールアドレスとそのパスワードを入力させようとし、18日からは100桁の乱数表を10桁ずつ10回に分けて全て入力させようとしていた。ちなみにこのサーバー上には、ほかに海外のユーザーをターゲットとしたブリザードエンターテインメント社のオンラインゲームサイト「BATTLE.NET」と、ビットコインの取引サイト「Mt.Gox」の偽サイトも併設されていた。
■注意喚起とともにフィッシングが一時終息
新たに始まったフィッシングを受け、週明けの18日には、両社から注意喚起が出された。「三菱東京UFJ銀行」をかたるフィッシングについては、メディアが一斉にとりあげたので、ご存じの方も多いだろう。 18日のこの時点では、偽サイト本体を設置したサーバーは1基だけしかなかったが、少なくとも40のホスト名が当該サーバーに接続するようになっており、不正アクセスを受けたと見られる十数か所の一般サイトには、この偽サイトに誘導する中継用のリダイレクターが仕掛けられていた。 偽サイトが設置されたこのサーバーは、同じIPアドレス上で約2週間稼働を続けていたが、19日昼までには接続できなくなった。同日夕方、プロバイダーを変更し、直近のフィッシングで使用したホスト名3件を継承して再稼働した。しかし夜には停止し、フィッシングは終息するかに見えた。
■オンラインバンキングを標的にフィッシング再開
警察庁は21日、「.cn.com」ドメインを利用したフィッシングサイトが急増しているとの注意を呼び掛けた。「.cn.com」は、一連のフィッシングで9月下旬から集中的に使われているもの。誰でも「●●●.cn.com」という形式でドメイン名を取得することができ、攻撃者は連日のように新規のドメイン名を取得しては、「正規サイトのサーバー名.●●●.cn.com」という形で偽サイトのサーバー名に使用していた。 警察庁が注意喚起を出した翌22日の午後、2日半の沈黙を破って再びフィッシングが始まった。サーバーには、相変わらず国内プロバイダーのアクセス回線が使われているが、これまで併設されていた他の偽サイトは消え、「三菱東京UFJ銀行」のフィッシング一本に絞っての再開だ。 使用しているドメイン名は、再開初日こそ違うものの、その後は2日続きで「.cn.com」のドメイン名が使われている。フィッシングメールは、件名、内容ともに以前の変な日本語のものをそのまま使用しているため、だまされてしまう方は少ないと思うが、今後まともな文面に変わって行く可能性もあるので注意していただきたい。
同行のオンラインバンキングは、SSLという暗号化通信でなければ接続できないようになっている。この時ブラウザのアドレスバーには、錠前のマークと「The Bank of Tokyo-Mitsubishi UFJ, Ltd.」という社名が緑色で表示されるので、本物のサイトであることは一目でわかる。誤ってクリックしてしまった場合でも、サービスの利用時にここさえ確認しておけば、偽サイトにだまされることはない。
（2013/11/25 ネットセキュリティニュース）
【関連URL】 ・【重要】 当社を装ったウォレットID詐取のフィッシングメールにご注意ください（ウェブマネー） http://www.webmoney.jp/news/2013/1118_fishing.html ・インターネットバンキングのパスワード等を騙し取る不審な電子メールにご注意ください。（三菱東京UFJ銀行） http://www.bk.mufg.jp/info/phishing/20131118.html ・三菱東京UFJ銀行をかたるフィッシング(2013/11/18)（フィッシング対策協議会） http://www.antiphishing.jp/news/alert/mufg20131118.html ・「.cn.comドメインを利用したフィッシングサイトの増加について」[PDF]（警察庁） http://www.npa.go.jp/cyberpolice/detect/pdf/20131121.pdf