中国で、オンラインバンクを標的にした大規模フィッシング攻撃が発生中……マカフィーが注意喚起

エンタープライズセキュリティ

2011.1.28（金） 17:15

　マカフィーは28日、中国において、銀行のオンラインバンキングのユーザーをターゲットに、SMS（ショートメッセージサービス）を利用したフィッシング攻撃が多数確認されていると公表した。

　今回の攻撃では、中国銀行から送信されたように見えるSMSのフィッシングメッセージを、顧客が受け取るものとなっている。このメッセージは、「お客様のトークンの期限が切れましたので、http://www.boc●●.comにアクセスして、トークンを再発行してください」といった内容が記載されており、リアクションを督促するものとなっている。URLは銀行の公式サイトに似ているが、実際には本物のWebサイトにそっくりなフィッシングサイトに誘導される。

　この偽のフィッシングサイトの右上には、「トークンをアップグレード」と書かれたボタンがあり、ユーザーがこのボタンをクリックすると、通常のオンラインバンキングのログインページのように見えるページにリダイレクトされ、このページでユーザーがアカウント情報を入力すると、ユーザーの口座から金銭を盗み出すのに必要なすべての情報（ユーザーID、パスワード、トークン）が、犯罪者に送信される仕組みとなっている。

　通常、ハードウェアトークンが発行するワンタイムパスワードは、定期的（60秒程度）ごとに使い捨てパスワードが自動発行され、フィッシングなどで利用できないようになっている。しかし犯罪者はアカウント情報をすぐに使用しており、トークンの有効期限が切れる前に、ユーザーの口座預金が犯罪者の口座に送金される被害が多数確認されているという。

《冨岡晶》