警察庁は6月30日、金融機関などのフィッシングサイトが6月から増加しているとして注意を呼びかけた。
同庁の発表資料によれば、同庁で観測したフィッシングサイトは、今年3月中旬以降減少し、ゲーム運営企業のフィッシングサイトが4月に観測されたものの、金融機関のフィッシングサイトについては、観測されなかったという。6月以降は増加に転じ、ゲーム運営企業のほか、複数の金融機関と電子マネー運営企業のフィッシングサイトを観測。ひとつのサーバーに複数の金融機関のフィッシングサイトが設置されていることもあったという。
■フィッシング被害に遭わないための対策
同庁は、フィッシングサイトが減少と増加を繰り返していることから、オンラインバンキングなどを利用する場合には、常に注意を払う必要があるとし、被害にあわないための対策と正規サイトの確認方法を紹介。ウィルスに感染による被害も続いているため、基本的なセキュリティ対策も重要だとしている。以下に、同庁の発表資料を引用する。
＜対策＞
・正規のサイト管理者が電子メールで口座番号や暗証番号の入力を促すことはないことから、そのような電子メール内のリンク先は安易にクリックしない。
・認証を必要とするサイトには、正規のURLを直接入力するなどして、表示されているメニューから操作する。
＜正規サイトの確認方法＞
・ブラウザに表示されているURLが正規のものであるか確認する。
・個人情報等を入力する場合は、サイトがSSL/TLS（URLが「https」から始まっています。）により、暗号化されていることを確認する。
・サイトの証明書を表示し、証明書の発行先が金融機関等の正規のサイト管理者であることを確認する。
＜基本的なセキュリティ対策＞
・ウィルス対策ソフトをインストールし、パターンファイルを最新のものにしておく。
・OS やソフトウェアのセキュリティ修正プログラムを適用しておく。
・インターネット上のファイルやメールの添付ファイルで不審なものは実行しない。
正規サイトの確認方法については、3項目全てを確認するよう指示しているが、国内の金融機関はEV SLLという特別な証明書を使用していることが多いので、より簡単で確実な確認方法をご紹介しておく。
EV SLLのサイトにhttpsで接続すると、アドレスバーの横に運営会社の名前が緑色で表示される。ここに正規サイトの運営会社の名前が表示されていれば、正規サイトであることが確認できる。地銀や信金などのオンラインバンキングでは、外部のシステムを利用しているところが多く、その場合は銀行名ではなく運営会社の名前が表示されることがあるので注意していただきたい。
■国内ユーザーを狙うフィッシングの状況（上半期）
警察庁のフィッシングサイト観測状況は、編集部のものと符合しており、ほぼ同じ状況をとらえたものと考えられる。編集部の観測状況を元に、今年に入ってからの国内ユーザーを狙う大規模なフィッシングの動向について、もう少し詳しく解説しよう。
編集部の観測状況と照らし合わせると、警察庁発表の「ゲーム運営企業」は、主に「スクウェアエニックス」と「ハンゲーム」、「金融機関1」は「三菱東京UFJ銀行」、「金融機関2」は「りそな銀行」、「金融機関3」は「三井住友銀行」、「電子マネー運営企業」は「ウェブマネー」で間違いないだろう。
今年に入ってからは、前年から続いていたオンラインゲームのスクウェアエニックスとオンラインバンキングの三菱東京UFJ銀行を装うフィッシングが先行する。これらは、偽サイトが同じサーバー上に設置されていたこともある。三菱東京UFJ銀行のフィッシングは、1月下旬から約1か月間の休止後に再開するも、4～5月は再び休止状態となる。
2月以降は、オンラインゲームの「ハンゲーム」を装うフィッシングが多発する。スクウェアエニックスのフィッシングが減少する中、3月から4月にかけて高頻度の攻撃を繰り返した。5月以降は、これらオンラインゲームのフィッシングもすっかり減り、三井住友カードを装うフィッシングは検出されるも、オンラインバンキングについては皆無だった。
そんな状況が、6月に入って一変する。三菱東京UFJ銀行を装うフィッシングが10日頃から始まり、14日には同じサーバー上にりそな銀行の偽サイトが、25日には三井住友銀行の偽サイトが設置される。サーバーのホスティングに、国内のプロバイダのアクセス回線を使用しているのが特徴で、以前の三菱東京UFJ銀行や4月までのスクウェアエニックスのフィッシングと同じ手法だ。
スクウェアエニックスとハンゲームのフィッシングも続いており、6月中旬から下旬にかけ、それぞれにウェブマネーの偽サイト（両者は若干異なる）が併設された。
（2014/07/02 ネットセキュリティニュース）
【関連URL】
・金融機関等のフィッシングサイトの増加について[PDF]（警察庁）
http://www.npa.go.jp/cyberpolice/detect/pdf/20140630.pdf