「正規リンク」使う、eBayサイトの脆弱性突くフィッシング攻撃

eBayのWebサイトに脆弱性が見つかり、既にこれを悪用したフィッシング攻撃が行われたもよう。（IDG）

[IDG Japan]

　eBayのWebサイトに脆弱性が見つかった。これが悪用され、サインオンページからフィッシング詐欺サイトへのリダイレクトに利用されていた可能性がある。

　英国のフィッシング対策組織Netcraftの報告によれば、犯行の手口として、まずeBayユーザーに宛ててアカウントのアップデートを促す電子メールが送信された。Bayをかたるこのような偽メールは現在世界で横行しており、ここまではありふれた手口だ。

　しかし、このメールに記されたリンクは正規のものであり、正規のeBayのサインインページ「signin.ebay.com」につながるようになっていた。しかしこれをクリックすると、正常に見える文字列の末尾に組み込まれたパラメータによって、ユーザーはservlet.ebay.comがホスティングしているオープンリレイ経由で、サインインページから偽のフィッシングページへとリダイレクトされていた。

　その結果、ユーザーが情報を提供してしまい、資金洗浄目的、あるいは偽オークション目的での口座乗っ取りにつながっていた可能性がある。

　Netcraftのポール・ムトン氏によれば、同社はフィッシング対策ツールバーのユーザーを通じてこの攻撃に気づき、数日前にこの脆弱性についてeBayに通報した。

　eBayを標的としてこのような攻撃が仕掛けられたのはこれが初めてではない。3月には、サインオンページ自体を偽装したほぼ同様のリダイレクト式攻撃が仕掛けられた。しかし今回の攻撃は本物のサインオンページを操作しているという点でさらに巧妙で、ユーザーが気づくのも難しいとムトン氏は指摘している。