セキュリティ企業の米Symantecは7月8日のブログで、詐欺サイトが正規のSSL証明書を使い、正規サイトを装う手口が見つかったと伝えた。ユーザーはSSLがあるために安心して個人情報などを入力してしまうという。
Symantecによると、SSL証明書を悪用した詐欺サイトは過去1カ月の間に急増した。攻撃側は、SSL証明書を取得したWebサーバを1つ乗っ取れば、そのサーバを使って多数のフィッシング詐欺サイトを運営することが可能になり、情報詐取の成功率も高まる。SSLが使われ鍵のアイコンが表示されるために、ユーザーは正規サイトだと思い込んでしまうという。
この手口を使って実際に、大手サイトを装うフィッシング詐欺が発生している。詐欺サイトかどうかを見分けるためにはSSL証明書をチェックするか、認証機能を強化したEV(Extended Validation) SSLをあてにするしかないという。
旧バージョンのブラウザを使っているユーザーは、EV SSLに対応したブラウザへのアップグレードを考えた方がいいとSymantecは促している。
関連記事
- SSLを過信していませんか――ネットバンキングに潜む誤解とは
24時間いつでも手軽に利用できるオンラインバンキングや決済サービス。金銭をやり取りするこれらのサービスは犯罪者にとって格好の標的なだけに、利用者には正しいセキュリティ対策への理解が欠かせない。 - 新たな中間者攻撃にはEV SSLの活用を――ベリサイン
Verisignは、BlackHatで公開された新たな中間者攻撃への対策としてEV SSL証明書の利用を呼び掛けた。 - SSL証明書の偽造に成功、ハッシュ関数の脆弱性を応用
US-CERTや米Microsoftは、MD5はもはや安全ではないと指摘して利用中止を促している。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.