実在する企業やサービスなどを装う偽のWebサイトに誘導し、アカウント情報やクレジットカード情報などをだまし取ろうとするフィッシングメールが、不特定多数のユーザーに送られている。直近に行われた、オンラインバンキングとオンラインゲームのフィッシングをご紹介する。オンラインゲームの偽サイトは29日15時現在も稼働しており、注意が必要だ。
■三菱東京UFJ銀行をかたるフィッシング
同行のログインページを模した偽サイトに誘導し、オンラインバンキングのアカウント情報と、取引に必要な乱数表の数字を全て入力させようとするフィッシングが、昨年11月から断続的に続いている。
今年9月からの攻撃が今月初めにいったん途絶えた後、今月19日から再びフィッシングメールが飛来している。メールは、「メールアドレスの確認」「本人認証サービス」といった件名で不特定多数に送られており、アカウントの認証と称してリンクをクリックさせようとする。メールに記載されたリンクは、見た目を公式サイトのURLに偽装しているが、クリックすると直接、または不正アクセスを受けた一般のWebサイトを経由して、本物そっくりに作られた偽のログインページを開く。
EV SSLに対応している本物のログインページは、アドレスバーの横に銀行名（The Bank of Tokyo-Mitsubishi UFJ, Ltd.）が緑色で表示されるが、偽サイトには表示されないので、ここをチェックすれば本物と偽物が一目で分かる。
偽サイトのURLには、見た目を似せるために本物のサイトのドメイン名「ｍｕｆｇ．ｊｐ」が織り込まれているが全くの別物だ。19日以降の攻撃では、URLに次のようなパターンのホスト名が使用されている。
ｂｋ．ｍｕｆｇ．ｊｐ．●●●．ｃｎ．ｃｏｍ
ｂｋ．ｍｕｆｇ．ｊｐ．●●●．ｐｗ
ｂｋ．ｍｕｆｇ．ｊｐ．●●●●．ｃｃ
ｂｋ．ｍｕｆｇ．ｊｐ．●●●●．ｃｏ．ｉｎ
ｂｋ．ｍｕｆｇ．ｊｐ．●●●●●．ｃｏｍ
ホスト名は、Webサイトにアクセスするために使用する名前のこと。ブラウザのアドレスバーに表示されるURLの「//」から最初の「/」までがそれだ。ドメイン名は、「/」の直前の部分で、この例でいう●以降の部分がそれだ。これらドメイン名は、誰でも取得することができ、Webサイトなどに使用することができる。同行のフィッシングでは、攻撃者が連日新しいドメイン名を取得し、偽サイトに新しいホスト名を割り当てながら攻撃を続けて来た。19～28日間に偽サイトに使われたドメインは、筆者が確認したものだけでも40種類。うち6種類が今朝（10月29日朝）まで有効だったが、昼前から全てアクセスできなくなっている。休止するか続行するかは、現時点では分からないので、今後も警戒を続けていただきたい。
EV SSLの銀行名表示、アドレスバーに表示されるドメイン名、ログイン直後に乱数表の数字を1行（10桁）ずつ全て入力させようとするあり得ない挙動など、要所要所に注意を払えば、たとえフィッシングメールに騙されても、偽物に気付くことができるはずだ。
＜関連URL＞
・【インターネットバンキング】パスワード等を入力させる偽メールが届いても、絶対に入力しないでください！（平成26年10月20日更新）（三菱東京UFJ銀行）
http://www.bk.mufg.jp/info/phishing/20131118.html
・[10/21 更新]三菱東京UFJ銀行をかたるフィッシング(2014/09/19)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/ufj20140919.html
・三菱東京UFJをかたるフィッシングメールにご注意ください（キヤノンITソリューションズ）
http://canon-its.jp/eset/malware_info/news/141024/
■スクウェア・エニックスをかたるフィッシング
ドラゴンクエストⅩプレイヤー専用サイト「目覚めし冒険者の広場」のログインページを模した偽サイトに誘導し、アカウント情報と生年月日を入力させようとするフィッシングは、三菱東京UFJ銀行のフィッシングの半年前から断続的に続いている。一時期は、同じサーバー上に偽サイトが開設されていたこともある。
今年8月中旬に行われた攻撃以降、しばらく途絶えていたが、「常確認のお願い」という件名のメールが27日から飛来している。「常確認」は、「異常確認」の間違いと思われるが、以前からこの状態。「安全確認」や「アカウント確認」などのバリエーションもこれまでに使われている。
今回送られているフィッシングメールは、アカウントが取引に利用されているおそれがあるので確認するよう促し、リンクをクリックさせようとする。リンクは、見た目を公式サイトのURLに偽装しているが、クリックすると公式サイトのドメイン「square-enix.com」とは全く異なるドメインの偽サイトへと誘導し、本物そっくりに作られた偽のログインページを開く。
偽サイトのURLには、「目覚めし冒険者の広場」のホスト名「ｈｉｒｏｂａ．ｄｑｘ．ｊｐ」を織り込んだ次のようなホスト名が使われており、「●●」を変えた多数のホスト名が投入されている。（●は任意のアルファベット1文字）
ｈｉｒｏｂａ．ｄｑｘ．ｊｐ．●●．ｖｉｐａｍｃ．ｃｏｍ
偽サイトは、10月29日15時現在も稼働している。攻撃者のこれまでの攻撃パターンからは、攻撃が単発で終わらず継続する可能性があるので、しばらくの間は警戒を続けていただきたい。
同社の管理サイトには複数のログインページがあるが、いずれもSSLに対応しているので、ブラウザに錠前マークが表示される。スクウェア・エニックスアカウント管理システムの場合には、EV SSL対応なので、アドレスバーの横に同社の社名（SQUARE ENIX CO., LTD.）が緑色で表示される。
＜関連URL＞
・フィッシング詐欺サイトへ誘導するメールやメッセージにご注意ください（スクウェア・エニックス）
http://www.jp.square-enix.com/info/1308_attention.html
・[10/28 更新] スクウェア・エニックス （ドラゴンクエスト X） をかたるフィッシング (2014/06/11)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/square_enix20140611.html
（2014/10/29 ネットセキュリティニュース）