ユーザーを騙す攻撃者のあの手、この手：2005年アクセストップ10

自ら進んでスパイウェアやボットに感染しよう、などと考える人はいない。そこで攻撃者はあの手この手を使ってユーザーを誘導し、マルウェアを実行させようとする。

[ITmedia]

　エンタープライズチャンネルで2005年最も注目された話題は何かを振り返るこの企画。年間ページビューランキングの4位は「Googleのスペルミス悪用サイト、アクセスするとPC乗っ取り」の記事だ。

　この1年で大きくクローズアップされた脅威として、「スパイウェア」が挙げられるだろう。どういったマルウェアを含めるかで解釈が分かれているが、大筋では、ユーザーの許可を得ずに個人情報を盗み取ったり、勝手にPCの設定を変更するなどの不正アクセス行為を行ったりするものを指す。

　2005年はとうとう、スパイウェアが原因となって金銭的被害が発生する事件が起こった。オンラインショップの運営者宛てにクレームを装ったメールが送られ、添付ファイルを実行するとスパイウェアがインストールされた。そしてオンラインバンクのIDやパスワードが盗み取られ、500万円もの被害に遭ったケースが報告されている。

　また、「ボット」「ボットネット」の脅威も大きい。Telecom-ISAC JapanとJPCERT/CCが実施したボットネットの実態調査によれば、国内ユーザーのボット感染率は2〜2.5％で、40〜50人に1人が感染。実際にそれらがスパム送信やDDoS攻撃の「インフラ」として使われている状況が明らかになってきた。

　スパイウェアにしてもボットにしても、BlasterやSlammerといったワームのように、急速に感染を広めることはなく、大々的に報じられることも少ない。しかし実害を考えると、かえってそのほうが恐ろしいともいえる。かつての「お騒がせ型」ワームとは異なり、これらマルウェアは、見つからないよう自らの動きを隠しながら、実害を与えている（関連記事）。

　さて、こうしたマルウェアはどこからやってくるのだろう？

　多くは電子メールの添付ファイルを不用意に開いてしまったり、怪しげなWebサイトにアクセスして画像などを開いたりして感染する。しかし、自ら進んで悪意あるWebサイトにアクセスし、マルウェアをインストールしてもらおう、などと考える人は少ないはずだ。

　攻撃者もそのあたりは理解していて、さまざまな手口でユーザーをおびき寄せる。OSやWebブラウザの脆弱性を悪用することもあれば、スパイウェアの例のように、もっともらしいメールを送りつけ、添付ファイルを実行させてもぐりこむことも、セキュリティソフトと偽ってCD-ROMを郵送する場合もある。アダルトサイトなどに仕掛けられることもあれば、表題のスペルミス悪用サイトのようにはじめから「打ち間違い」を狙ったケースも多い。

　ベクトルはさまざまだが、ユーザーに「これを開かなければ」「見なければ」と思わせるソーシャルエンジニアリング手法は、アナログではあるが、やはり効き目のある方法なのだろう。2006年も、ユーザーを出し抜こうとするさまざまな手口が出てくるはずだ。パッチの適用、ウイルス対策ソフトの導入といった最低限の対策に加え、信頼できるサイト以外のリンクをクリックしたり、電子メールの添付ファイルを開く前には「これは大丈夫かな？」と一息入れて考えることも必要だろう。