【 ここから本文 】
［特集］Webブラウザ
ソーシャルブックマークに登録 ：
印刷用ページの表示
［米国］
RSA、新手のフィッシング・サイト作成ツールを確認──正規コンテンツが隠れみのに
（2007年01月16日）
米国EMCのセキュリティ事業部門であるRSAセキュリティは1月15日、実在する正規の動的コンテンツを偽装URL上に表示させることが可能なフィッシング・ツールキットの存在を明らかにした。すでにインターネット上では約1,000ドルで売買されている。
このフィッシング・ツールキットは「Universal Man-in-the-middle Phishing Kit（万能仲介フィッシング・キット）」と呼ばれるもので、同社によると、1月10日にインターネット上の「fraudster forum（詐欺フォーラム）」で無料体験版が提供されていたという。
RSAセキュリティの詐欺防止コマンド・センターによると、同フィッシング・ツールキットの特徴は、複数の偽サイトを容易に作成できることにある。
同ツールキットを用いれば、攻撃者は偽サイトの設置場所をリンク先に指定するだけで、フィッシング詐欺サイトを設けることができる。そして、攻撃対象となるユーザーがフィッシング・メールなどを介して偽装サイトにアクセスしたときに、実在する正規のWebコンテンツをリアルタイムで取り込んで表示させることができるというのだ。そのうえで、攻撃者はユーザーが入力するパスワードや個人情報などの個人情報をリアルタイムで傍受できるという。
RSAセキュリティのコンシューマーソリューションズ・マーケティングディレクターであるマーク・ガッファン氏は、Universal Man-in-the-middle Phishing Kitと同様の方法で作成されたフィッシング詐欺サイトが今年から来年にかけて流行すると予測したうえで、以下のように警鐘を鳴らした。
「現時点では、このような攻撃は“次世代型”と考えられている。だが、今後1年から1年半の間に、こうした攻撃は蔓延するだろう」
また、米国ウェブセンスのオーストラリア・カントリーマネジャーであるジョエル・カミサール氏は、実在する正規URLが“隠れみの”になっているフィッシング詐欺サイトをユーザーが見極めるのは非常に困難だと指摘する。
さらに、英国ソフォスのアジア太平洋地域・技術責任者であるポール・ダックリン氏は、実在するURLを表示させるようなフィッシング詐欺サイトの存在を初めて聞いたのは、昨年モントリオールで開催されたウイルス報告会議「Virus Bulletin 2006」であったと打ち明ける。
ダックリン氏は、RSAセキュリティが今回発見したUniversal Man-in-the-middle Phishing Kitの全貌が明らかになっていないことを問題視している。
「例えば、リクエストごとに発行されるトークンを悪用した、攻撃対象となるWebサイトのログイン・システム自体を崩壊させるような高度な攻撃も可能なのか、現時点ではまったく不明なのだ」（ダックリン氏）
(マイケル・クロフォード／Computerworld Today オーストラリア版)
