メルマガのリンク先を信用してはいけない(…といっても以前から存在する手法の更新版)

最近フィッシングによる口座被害やらクレジットカードの不正利用があとを絶たない…どころか増加の一途である。

直近ではイオンカードの不正利用被害とその対応のまずさが話題になっている。大手はCMに配慮したのかあまり大きく報道しないが、少額決済ではオフライン決済の手法を取るために被害にあったことがバレにくく、挙げ句未使用カードでの被害まで出る始末。そもそもの原因はユーザー側でその手のメールに引っかかっているのが原因であろうが、あとはカード番号やらセキュリティコードなどを被害者のカードのデータ解析で攻略されている可能性がかなり高い。

数少ない被害を報じた記事(IT Media)
「イオンカード」の不正利用が急増した根本原因　なぜここまで返金対応が遅れているのか
https://www.itmedia.co.jp/news/articles/2410/10/news156.html

ただ、だいぶ使い古されてきたのでそろそろ新しい手が出るかと思ったら、やはり出てきた。

そして最近は本物のメルマガからデータを取得したと思われる偽装メールが届き始めた。一見すると正規のメールに見えるが、リンク先やら送信元が明らかに違う(下図参照、左下に注目)。

手間を掛けたサイトであれば、ここらも偽装して来るケースも想定される。
つまりメールに記載されたURLは基本的に信用してはいけないということになる。

一般的なフィッシング注意喚起サイトでは、SSL暗号化の鍵マークに注目！って言ってるところもあるが、鍵マークがあっても安心してはいけない。
厄介なのはリンク先のフィッシングサイトでもSSL証明書を取得しているため、一見すると騙される可能性があること。

件の偽メールのソースコードをよく見るとリンク先*情報抜き取り用ページのURLの頭にはhttpsがついている。

ちょっとした手間でSSL証明書は取得できる(以前よりかなり簡単かつ安価に証明書は取得できる)し、そもそも暗号化は通信中のデータを保護するものであって、接続先が安全であるという保証はないことを忘れてはいけない。
鍵があったら信用できるわけではない。

カード情報を抜き取るためなら彼らは何でもやるのである。

自分が購読しているメルマガといえども、油断はできない。