SHOEISHA iD

※旧SEメンバーシップ会員の方は、同じ登録情報(メールアドレス&パスワード)でログインいただけます

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

直近開催のイベントはこちら!

Data Tech 2022

2022年12月8日(木)10:00~15:50

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けの講座「EnterpriseZine Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。

お申し込み受付中!

EnterpriseZine Press

「ひっかかるなと言う方が無理」なフィッシング詐欺「スミッシング」、マクニカネットワークスが対応示す

 SMS(ショートメッセージサービス)によるフィッシング詐欺「スミッシング」の被害が増大している。重要な通知であるかのように偽り、スマートフォンにプッシュ型で通知し、マルウェアに感染させ個人情報やクレジットカードの情報を盗み出すという手口は、「ひっかかるなという方が無理」というほど巧妙だという。NTTドコモとマクニカネットワークスが共同でおこなった発表について紹介する。

ショートメッセージからのフィッシングに注意!

<p>(左より)マクニカネットワークス株式会社 第3技術統括部 テレコムセキュリティ・エンジニア 主幹技師 丸山一郎氏/テレコムセキュリティエンジニア 鈴木一実氏/ テレコムセキュリティ・エンジニア 課長 霍村将寿氏</p>

(左より)マクニカネットワークス株式会社 第3技術統括部 テレコムセキュリティ・エンジニア 主幹技師 丸山一郎氏/テレコムセキュリティエンジニア 鈴木一実氏/ テレコムセキュリティ・エンジニア 課長 霍村将寿氏

 ある時、あなたのスマホにショートメールが届く。宅配便の不在通知だ。「お荷物のお届けにあがりましたが不在のため持ち帰りました。ご確認ください。URL : ××××××××××××」リンク先には見慣れた宅配のマークがあり、スマホのアプリやクレジットカードの口座番号を入力させる。

 これが、SMS(ショートメッセージサービス)とフィシングを組みあわせた「スミッシング」だ。個人情報とともにアカウントも乗っ取られ、経済的な被害にあってしまう。

 こうしたスミッシングの被害がなぜ増大しているのか。いったい誰が送っているのか。

 「スミッシングの多くは海外から送られている」とNTTドコモの田中威津馬氏はいう。携帯電話のショートメッセージはインターネットのメールと異なる回線ネットワークを通じて電話番号宛に、プッシュ型で送られる。送信には料金がかかるため、送信者が日本にいても、費用の安い海外の配信サーバーを通じて送られてくる。どのルートから送られているかの特定は難しいという。

 被害者をなくすためには、通信の内容を検知して止めるしかない。しかし、日本には「通信の秘密」という原則がある。「フィッシングを止めるためには、お客様のSMSの中身を見て、判定しないといけないが、中身を見る行為はタブー」だと田中氏は語る。そのうえで、こうした限界を乗り越えて今回、競合関係にある通信の4社が手を組む必要があると方向性を示す。

新型コロナに乗じて拡大したスミッシング

<p> 資料:マクニカネットワークス</p>

資料:マクニカネットワークス

 スミッシングの代表的なものとして、銀行系、運送会社系、キャリア系などがある。マクニカネットワークスのセキュリティチームの鈴木一実氏は「それぞれを得意とする攻撃者グループがあるため、ひっかかるなと言うほうが無理」と述べる。

 たとえば、宅配業者型のスミッシングのケースでは、ヤマト運輸を偽わり「新型コロナウイルスの感染拡大に伴い接触を極力少なくすること」を理由にメッセージを送る。iPhoneユーザーにApple IDを入力させ、さらに2段階認証の確認コードを送るが、この画面も偽物になっているという具合だ。

資料:マクニカネットワークス</p>

資料:マクニカネットワークス

 SMSの特徴は電話番号に対してプッシュ型で送られるため、加入者に確実に届く。到達率、開封率(信憑性)が高く、かつセキュリティ対策がされていないことだ。インターネットのメールと異なり、端末の接続や認証を司る制御信号を利用して配信される。最近のスミッシング攻撃の傾向は、以下のような点にあるという。

  • 広告・スパムに混ざって届くため、途中経路での識別・フィルタが困難
  • 正規の送信者名を使用するケースが散見(イオンの事例など)され、途中経路での識別・フィルタが困難
  • 日々フィッシングURLを変えるためブロッキングが不可
  • 同一本文×複数の送信者名
  • 攻撃曜日・時間に偏りがある

次のページ
SMSの不正信号分析から発生パターンを発見

この記事は参考になりましたか?

  • Facebook
  • Twitter
  • Pocket
  • note
関連リンク
EnterpriseZine Press連載記事一覧

もっと読む

この記事の著者

京部康男 (編集部)(キョウベヤスオ)

翔泳社 メディア事業部。同志社大学卒業後、人材採用PR会社に就職後1994年から翔泳社に参加。以後、翔泳社の各種イベントの立ち上げやメディア、書籍、イベントに関わってきた。現在は、嘱託社員の立場でEnterpriseZineをメインに取材・編集・書籍などのコンテンツ制作に携わる。 趣味:アコギ、映画鑑賞。...

※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です

この記事は参考になりましたか?

この記事をシェア

EnterpriseZine(エンタープライズジン)
https://enterprisezine.jp/article/detail/13401 2020/09/11 12:00

Job Board

PR

おすすめ

アクセスランキング

アクセスランキング

イベント

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

2022年12月8日(木)10:00~15:50

新規会員登録無料のご案内

  • ・全ての過去記事が閲覧できます
  • ・会員限定メルマガを受信できます

メールバックナンバー

アクセスランキング

アクセスランキング