フィッシングの亜種はファーミング・・その手口に要注意・・今回は米国の金融監督機関である連邦預金保険公社のガイダンスを紹介する。
「金融機関向け通知」
金融機関のファーミング攻撃の防御方法に関するガイダンス（仮訳）
米国邦預金保険公社（FDIC） 2005.7.18更新
連邦預金保険公社（Federal Deposit Insurance Corporation）はこのほど「ファーミング（pharming）」によって引き起こされるリスクと当該リスクを緩和するための戦略について金融機関向けガイダンスを用意した。
ファーミングは、後に詐欺（fraud）やなりすまし（identity theft）に利用する個人情報を得るために偽のウェブサイトにつなげるため、インターネット・ドメイン名をリダイレクトする（出力先変更）違法行為である。
「フィッシング」と「ファーミング」の両者とも、偽のウェブサイトを使用して個人情報の入力を促す点は共通しているが、当該個人をどのようにも偽サイトの仕向けるかという言う点に相違がある。
フィッシング(Phishing)とはー
個人の信用情報や金融取引情報など個人の機密情報をあたかも魚を釣るように、違法に入手したり使用する詐欺行為のことを包含する。典型的な例では、詐欺メールは消費者はまず金融機関、政府機関またはその他の機関から発せられたと思わせる個人信用情報または金融取引情報の入力を求めるe-mailを受信する。そのメールはしばしば消費者が直ちに説明内容に応じて応急手当としてサイトにリンクするクリック行為を行うよう指示する。そのリンクした先はあたかも金融機関、政府機関、その他の機関のウェブサイトのように見える。しかしながら、この「フィッシング詐欺」では公式のウェブサイトではなく偽のウェブサイトにリンクしている。この偽サイトにつながった以降、消費者は個人を特定する社会保障番号、口座番号、パスワードまたは母親の旧姓や生年月日など他の機密情報の入力を促される。消費者がこのような情報を入力した後、詐欺師は消費者の口座に違法にアクセスしたり、なりすまし策を練り始める。
ファーミング(Pharming)とはー
技術的な手段によって個人を違法なウェブサイト（illegitimate Web）にリダイレクトさせる行為のことである。たとえば、周期的にインターネットバンキングを利用する顧客は正規の銀行のウェブサイトではない違法なウェブサイトにリダイレクトさせられるかも知れない。
ファーミングは次の4つの異なる方法で行われる。
①静学的（static）なドメイン名詐欺(Static domain name spoofing:)
ファーミング詐欺師（個人または組織）はユーザーがうっかりした入力ミスにより詐欺師のウェブサイト名を入力するように坂ける。例えば、詐欺師はユーザーが「anybank.com」と入力するつもりなのに「anybnk.com」と入力させる場合などである。
②悪意のあるソフトウェアー（Malware）の利用
消費者のパソコン上にコンピュータウイルスとトロイ人（機密データを得るため潜在的な悪意あるコード(code)や機器を使用して、正当な入力要求を妨げる、例えば、消費者がanybank.comの閲覧要求をしたときに、詐欺師があらかじめ設定した偽サイトにリダイレクトさせるものである。
③ドメイン・ハイジャッキング(Domain hijacking)
ハッカーは金融機関等の正規のウェブサイトへの情報を違法サイトにリダイレクトするかまたはハイジャックすることもある。一般的に次の2つの方法でドメイン名をハイジャックする。
Ａ．ドメイン・スラミング(Domain slamming)（ドメイン転送要求を出すことにより、顧客の了承なしにドメイン登録機関を他社に変えること）新しい登録機関の口座保有者は、異なる違法なサーバーに向けたルーティング指示の変更が可能となる。
Ｂ．ドメインのリース期間満了の放置(Domain expiration)
ドメイン名は一定期間リース契約で行われる。適切なリース手続きを管理しない場合、正当なドメイン名の所有権移転を招くことになる。満了した場合、権利がなくなったドメイン名を回復するために、商号法（trade name law）にもとづく回復手続きをとることが必要である。
④DNS（ドメイン名サーバー）中毒(DNS poisoning)
最も危険なものである。DNSはインターネットロードマップガイドと類似のものである。
ある個人が自分が利用するブラウザに「www.anybank.com」を入力したとき、インターネットドメインサーバーは「www.anybank.com」をインターネットプロトコル・アドレス（ルーティングの方向を指示する）に変換する。DNSサーバーがこのアドレス情報を提供した後にユーザーの接続要求は「anybank.com」に転送される。要求された以外の情報をウェブサイトに送信するためにローカルDNSサーバーに「毒を盛る」ことができる。この中毒はローカルサーバーにインストールされた不適正なシステム、ネットワークの脆弱性、または破壊ソフト（Malware）によっておこされる。
インターネット全体で13の基幹DNSサーバーがあり、厳重に保護、制御されている。違法情報が基幹DNSに達する前に詐欺師はローカルサーバーを使うことが可能であり、ハッカーがこのような行為を行った場合、インターネットは厳しい感染にさらされることになる。
ファーミングの検出と防止対策(DNS poisoning)
消費者と企業は、ファーミング攻撃に対処するため次のような方法をとることができる。
①デジタル証明書（Digital certificates）
正当なウェブサーバーはデジタル証明書を使うことで違法なサイトと識別することができる。証明書認証を使うウェブサイトは偽造することがさらに困難である。消費者はサイトが信用できるかどうかを決めるにあたり、そのツールとして証明書を使うことができる。
②ドメイン名の管理
金融機関はドメイン名が直ちに更新されることを確実にするため、こまめにドメイン名を管理する必要がある。行政機関も類似のドメイン名が登録される可能性についてと調査すべきである。さらに多くの登録機関が権限のないドメインがスラミングされないようドメインロック（注）を提供する。さらにドメイン名の管理に情報は問題のあるドメイン名管理や最も優れた実践についての銀行のリスクに関する「銀行の技術に関する告示（Bank Technology Bulletin）」を含むFIL-77-2000―を参照。
③DNS中毒
金融機関は、DNS中毒攻撃から即座に守るため自社のウェブサイトの周辺を調査する必要がある。例えば、Anybankのドメインがハイジャックされたらインターネット経由の要求受信は停止する必要がある。インターネット経由のトラフィックの低下はAnybankの技術要員に連絡し、警告のうえ調査すべきである。
④消費者教育
金融機関は、コンピュータの感染力を減少させるため、インターネットバンキングの利用顧客にウイルス検出ソフト、ファイアーウォール、スパイウェアなどスキャニングツールの最新版の使用を勧奨すべきであるとともに、新たな脅威と戦うために定期的にこれらにツールのアップデートの重要性を強調すべきである。
金融機関は、偽サイトにかわり十分に信じうるに足るサイトにいつ接続しているかを知りうるよう教育すべきである。
結論
金融機関のドメイン名は、保護されるべき重要で貴重な金融機関の財産である。ドメイン名が誤用されたり別の方法でリダイレクトされることは、金融機関とインターネットバンキングの顧客はデータと金融面の損失を負うことになる。金融機関のドメイン名を常にモニタリング・保護して、情報セキュリティの一部として定期的にアップデートすべきである。
********************************************************
（注）ドメイン・ロックの解除
一般的にドメイン名を移行する場合、その企業はドメイン登録機関のウェブサイトでそのことを要求する。そして、意図的または無意識に要求した人に移行される。ドメイン名がルックされるとその要求は自動的にロックされる。ドメイン名の利用企業が名前を移したいのであれば、その進行の前にドメイン名のロックを解除しなければならない。解説例
（参照URL）http://www.fdic.gov/news/news/financial/2005/fil6405.html
********************************************************
(今回のブログは2005年8月18日登録分の改訂版である)
***************************************************************
Copyright © 2005-2010 芦田勝(Masaru Ashida ) All Rights Reserved．No reduction or republication without permission．
コメント
コメントを投稿