図解サイバー攻撃 [Cyber Attack dot Net]

図解サイバー攻撃。サイバー攻撃・サイバーテロや情報漏洩などのサイバーセキュリティインシデントについて詳しくイラストで解説。

図解サイバーセキュリティ用語

フィッシングメールとは 図解サイバーセキュリティ用語

投稿日:2017年4月8日 更新日:

最近良く聞く言葉の1つにフィッシングという言葉があります。会社でもセキュリティ部からアナウンスがあって「最近フィッシングメールが流行していますので、怪しいメールは絶対に開かないようにしてください。」と注意喚起していますね。フィッシングとはソーシャルエンジニアの1つで、メール等を利用してユーザのIDや銀行口座などの情報を不正に収集する手段です

フィッシング(Phishing)の語源

フィッシングとは魚釣りのFishingではありません。英語にするとPhishingですが、語源は魚釣りのFishingから来ているそうです。

The word phishing was coined around 1996 by hackers stealing America Online accounts and passwords. By analogy with the sport of angling, these Internet scammers were using e-mail lures, setting out hooks to “fish” for passwords and financial data from the “sea” of Internet users. They knew that although most users wouldn’t take the bait, a few likely would. The term was mentioned on the alt.2600 hacker newsgroup in January 1996, but it may have been used earlier in the print journal 2600, The Hacker Quarterly.

Hackers commonly replace the letter f with ph, a nod to the original form of hacking known as phone phreaking. Phreaking was coined by John Draper, aka Captain Crunch, who created the infamous Blue Box that emitted audible tones for hacking telephone systems in the early 1970s.

By 1996, hacked accounts were called phish, and by 1997, phish were being traded among hackers as a form of currency — people would routinely trade 10 working AOL phish for a piece of hacking software.

Computerworldより:http://www.computerworld.com/article/2575094/security0/sidebar–the-origins-of-phishing.html

これは2004年1月19日にComputerworldに掲載された記事で、そこにはインターネットを「海」になぞらえて、そこで悪い人が金融データなどを「釣る」ためにメールを「ルアー」として利用する、といったような比喩が記載されています。ではなぜFishingからPhishingになったと言いますと、ハッカーたちの間では「f」を「ph」に変換する文化があるそうです。そうやってPhishing(フィッシング)という言葉が生まれたそうです。

フィッシング(Phishing)の事前準備

攻撃者は巧妙に作成された偽のメールを作成する事から始まります。例えば、ユーザから銀行のIDとパスワードを盗みたいのであれば、その銀行がユーザに対して定期的に送信しているメールマガジンやお知らせメールを参考にしてフィッシングメールを作成します。そして、その銀行のWebサイトとそっくりな偽のWebサイトを作成します。

フィッシングメールの仕組み

フィッシング(Phishing)詐欺の実行

フィッシング詐欺の準備が完了すると、実行に移ります。

フィッシング詐欺の仕組み

攻撃者はユーザにフィッシングメールを送信します(①)。ユーザはそのフィッシングメールを開いて本物であると思い込むと、そのフィッシングメールに記載されているURLをクリックして偽のWebサイトにアクセスします(②)。ユーザがその偽のWebでログインを試しますが、偽のWebサイトですのでエラーやメンテナンス画面が表示されます。しかしながら裏側ではユーザが入力したIDとパスワードは保存されて、攻撃者の手に渡ります(③)。攻撃者はそのIDとパスワードを利用して銀行のWebサイトにアクセスし、ログインして不正な送金等を行います。(④)。

広告

広告

-図解サイバーセキュリティ用語

関連記事

POPとIMAPの違い。どちらを選べばいいの? 図解サイバーセキュリティ用語

メールの受信・閲覧方法にはPOPとIMAPという2種類があります。皆さんが自宅のパソコンでメールを見ている場合は大体がPOPという方法でメールを受信しています。一方でスマホなどのデバイスでメールを見る …

異常検知 シグネチャ検知とアノマリー検知 図解サイバーセキュリティ用語

マカフィーやシマンテックなどのウィルス対策ソフトやSourceFireなどのIDS/IPS製品では異常検知を行う事によって、不正なトラフィックや悪意のあるコマンドを検知しています。異常検知には主にシグ …

ICMP Flood攻撃、Ping Flood攻撃 図解サイバーセキュリティ用語

ICMP Flood攻撃はDoS攻撃の中のFlood系の攻撃の一種です。Ping flood攻撃とも言われます。DoS攻撃の中でも簡単な仕組みの攻撃です。どのような攻撃かと言いますと、まずあらかじめ大 …

パスワードリスト攻撃 他のサービスから盗み出したIDとパスワードを利用して不正アクセス

SNSなどのウェブサービスで不正アクセスが頻繁に発生していますが、その多くはパスワードリスト攻撃による不正アクセスです。ここではパスワードリスト攻撃について解説します。 パスワードリスト攻撃 攻撃者が …

タイポスクワッティングとは?

タイポスクワッティングとは、ユーザがWebブラウザにURLを入力する際の打ち間違いを利用して、ユーザを悪意のあるWebサイトに誘導する手法の事を言います。タイポスクワッティングは英語でtyposqua …