「サイトセキュリティ」カテゴリーアーカイブ

フィッシング詐欺の見分け方

2015年も相変わらず、フィッシング詐欺メールが多いようです。

先日、レンタルサーバーの管理会社から、私の管理するサイトに対し、
大量のアクセス、しかも外国から、
というのが流れているので、
一時的にサイトをアクセスできないようにしました、
との連絡がありました。

また、コメントスパムかと思ったら、そうでもなさそう。

ワードプレスなど、CMSの古いバージョンが残っていたようで、
その弱点を攻撃しようとアクセスが急増したようです。

その後、
フィッシング詐欺の踏み台や発信元になったら大変です。

とても詳細をチェックしている時間も無いのです、
即座に、初期化してしまいました。

■フィッシングは

 銀行やクレジットカード会社などの有名な企業を装って、
電子メールやホームページと似たものを示して、
意図的に勘違いさせ、
個人の金融情報等を聞きだそうとする手口です。

振り込め詐欺の電子版ですね。

<聞き出そうとする個人の情報の例>
クレジットカード番号、キャッシュカード番号、暗証番号
住所、氏名、電話番号
オークション、プロバイダ、電子メール等のID・パスワード など

さらに、
悪意のあるサイトへ誘導してウイルスに感染させる場合もあります。

登録している金融機関の個人情報や企業の経理責任者の情報等が漏れると、
これを悪用して現金を引き出されてしまう事件も発生しています。

また、本人や企業の担当者になりすまして、不正な売買をされたりど、
犯罪被害に遭う、あるいは犯罪者の行為に加担してしまうおそれがあります。

このため、個人情報やカードの情報などを問い合わせる
不審な電子メールやサイトへのアクセスには注意が必要です。

■フィッシング詐欺を見分けるには

1.知らない相手
・知らない人からのメール
・知らない組織・企業からのメール

そもそも知らない人から登録もしていないのに、メールが来るというのは、
相手はメールアドレスをどこかで入手しているわけです。

2.必要性が不明なクリック
・知らないサイトへの誘導URL をクリックさせる内容
・知らない組織・企業のURL をクリックさせる内容

これらをクリックする前に、別のウインドウを用意して、
その企業名や電話番号、住所で検索してみるなどのチェックが有効です。

3.急ぎ、慌てさせる文言

・今日まで、(何か忘れてましたか)
・今すぐ (確認、相談しなくていいですか)
・タイマーがぐるぐる回っている画面(秒単位での計測が必要ですか)

冷静な判断をさせないための、詐欺の手法、
少なくとも詐欺っぽい手法でしょう

あまりにうっとうしい広告

最近、新しいタイプの広告が表示されるようになりました。

WinXPの公式サポートが終了する頃にも出ていましたが、
類似の広告です。

パターンは、
1.利用中のパソコンにエラーがあります。
2.クリックして、ツールをダウンロードし、
  クリーナップやチューニングしなさい

という派手なメッセージを表示して、
自社サイトへ誘導するもの。

パソコンのレジストリは、
いつの間にか書き換えられる場合があり、

また利用中のソフトやツールも
頻繁にバージョンアップされるので、
エラーがあることは間違いではない。

しかし、
内容をチェックしたかのようにみせかけて、
用意されたメッセージを表示する手法は、
明らかに虚偽広告か誇大広告。

あまりにうっとうしい広告
RegClean Pro20140801

あなたも、同じような経験ありませんか。

WordPressを騙るフィッシング?「WordPress3.8.2へのサイト更新が完了しました」

「WordPress3.8.2へのサイト更新が完了しました」
というメッセージが送られてきました。

2014年4月9日の朝のことです。

新しく追加された機能のようで、
次のような内容のメールです。

発信名はWordPress?

一瞬、スパムかフィッシングか、詐欺か、
あるいは、
ついにハッキングされてしまったか、とドキリ。

「WordPress 3.8.2へ自動更新したよ~。
 あなたは何もする必要はないから楽ちんでしょ?」

とは、なんともおせっかいです。

楽ちんかどうかは、それぞれの事情によって違う!

標準のまま使っていれば、便利かもしれないけど、
プラグインなど、カスタマイズしてると、・・・

急いで動作確認しないと!
互換性が心配です。

タダでさせ、WindowsXPのサポート終了で、
いろいろ確認しなきゃいけない作業が
たくさんあるのに!

NAVERアカウントへの外部からの不正アクセス

先月、著名なNAVERアカウントへ、外部者が不正アクセスして、
ユーザーIDとメールアドレスおよびハッシュ化されたパスワードが流出した可能性がある、
との報道がありました。

ワードプレスへの攻撃と同じように、
不正アクセスは、いろいろなサイトへの攻撃として広がっているようです。

先週末に、その「NAVERアカウント」に対する不正アクセスを行ったとして、
日本国外の人物が特定され、データが削除されたようです。

不正アクセスの調査、容疑者の特定、
現地警察と連携した不正アクセス(犯罪)としての捜査は、
驚くほど早い、と思います。

このサイトで紹介しているような、
個別の攻撃者の国籍や、攻撃手法については、
ログで判明するかぎりで情報提供しようとしていますが、
ひとつ、
大きな違いがあります。

それは、
不正アクセスされたか(実際に侵入されたか)どうか。
ということです。

当サイトの情報では、
不正アクセスの兆候は把握できますが、
実際に侵入されたわけではないので、
警察など、捜査当局への通報や相談は、難しいと思われるからです。

しかし、
不正を働く可能性のある情報として、
今後も元気を出して、情報提供する予定です。

Better WP Security はブルートフォースアタック対策の第一歩

ブルートフォースアタック対策に悩んでいらっしゃる方も多いようなので、
あらためて、この3ヶ月の攻防の結果から、
Better WP Security (WPの無料プラグイン)
の有効性についてレポートします。

これまでの経験から、
Better WP Security はブルートフォースアタック対策の第一歩
といえる働きをしてくれています。

このプラグインの機能概要、インストールの方法など、
バックナンバーを確認ください。
 ⇒ http://virus.jyuku.mobi/archives/234

ワードプレスには、
世界でもっとも利用されているCMSといわれるだけあって、
さまざまな有効なプラグインソフトが提供されています。

しかしながら、
ここまで体系だって、細部のチェックをまとめてまかなってくれるのは、
Better WP Security だと思います。

当サイトの管理人が、
100以上のワードプレスサイトに実装して得た体感です。

それぞれの専門機能を持つプラグインは、
それなりの活躍をしてくれていることでしょう。

でも、
導入するプラグインの数が多いと、
そこにもセキュリティホールが発生し、
バージョンアップや個別チェックも手間が発生します。

そんな管理面から見ても、
Better WP Security はセキュリティ対策の基本要素をカバーしており、
ブルートフォースアタック対策の第一歩といえるでしょう。

ブルートフォースアタックの実態については、
当サイトでもレポートしていますが、
4-6月の経験を踏まえたまとめレポートを公開する予定です。