HTML形式の電子メールは危険がいっぱい

[ITmedia]

　HTMLメールを使ってマルウェアに感染させる手口が増えているとして、セキュリティ企業のMcAfeeが注意を呼びかけた。

　McAfeeによれば、HTML形式のメールではテキストの極小化や透明化、タグを使った難読化、JavaScriptやVBScriptといったクライアントサイドスクリプト利用などにより、データを目に見えないようにすることが可能で、Webと同様に「何でもあり」の状態になってしまう。

　HTMLタグを使って悪質なURLが受信者に見えないようにしてあるのは、スパムやフィッシング詐欺メールの常套手段だ。McAfeeの調べでは、HTMLコンテンツに感染する機能を持ったマルウェアも増えており、HTMLだけでなくASP、JSP、PHPなどの形式にも感染する。

　感染方法はマルウェアの種類によって違うが、よく使われるのはIFRAMEタグをコンテンツに挿入する手口。「Fujacks!htm」や「Wuke!htm」、最近の例では中国のウイルス「Xiaoho!htm」もこの手口を使っている。また、「RAHack!htm」というマルウェアは、Webコンテンツの最初の方にOBJECTタグを挿入する手口を多用しているという。

　McAfeeによると、このようなマルウェアに感染したHTML形式のメールも複数報告されており、こうしたメールは返信したり転送するたびに感染が広がる仕組みになっているという。