SSL証明書を使う詐欺サイトが急増、乗っ取りサーバで運営

SSLがあれば、ユーザーは詐欺サイトとは思わずに安心して個人情報などを入力してしまう。

[ITmedia]

　セキュリティ企業の米Symantecは7月8日のブログで、詐欺サイトが正規のSSL証明書を使い、正規サイトを装う手口が見つかったと伝えた。ユーザーはSSLがあるために安心して個人情報などを入力してしまうという。

　Symantecによると、SSL証明書を悪用した詐欺サイトは過去1カ月の間に急増した。攻撃側は、SSL証明書を取得したWebサーバを1つ乗っ取れば、そのサーバを使って多数のフィッシング詐欺サイトを運営することが可能になり、情報詐取の成功率も高まる。SSLが使われ鍵のアイコンが表示されるために、ユーザーは正規サイトだと思い込んでしまうという。

　この手口を使って実際に、大手サイトを装うフィッシング詐欺が発生している。詐欺サイトかどうかを見分けるためにはSSL証明書をチェックするか、認証機能を強化したEV（Extended Validation） SSLをあてにするしかないという。

　旧バージョンのブラウザを使っているユーザーは、EV SSLに対応したブラウザへのアップグレードを考えた方がいいとSymantecは促している。

過去のセキュリティニュース一覧はこちら