図解サイバー攻撃 [Cyber Attack dot Net]

図解サイバー攻撃。サイバー攻撃・サイバーテロや情報漏洩などのサイバーセキュリティインシデントについて詳しくイラストで解説。

図解サイバーセキュリティ用語

フィッシングメールとは 図解サイバーセキュリティ用語

投稿日:2017年4月8日 更新日:

最近良く聞く言葉の1つにフィッシングという言葉があります。会社でもセキュリティ部からアナウンスがあって「最近フィッシングメールが流行していますので、怪しいメールは絶対に開かないようにしてください。」と注意喚起していますね。フィッシングとはソーシャルエンジニアの1つで、メール等を利用してユーザのIDや銀行口座などの情報を不正に収集する手段です

フィッシング(Phishing)の語源

フィッシングとは魚釣りのFishingではありません。英語にするとPhishingですが、語源は魚釣りのFishingから来ているそうです。

The word phishing was coined around 1996 by hackers stealing America Online accounts and passwords. By analogy with the sport of angling, these Internet scammers were using e-mail lures, setting out hooks to “fish” for passwords and financial data from the “sea” of Internet users. They knew that although most users wouldn’t take the bait, a few likely would. The term was mentioned on the alt.2600 hacker newsgroup in January 1996, but it may have been used earlier in the print journal 2600, The Hacker Quarterly.

Hackers commonly replace the letter f with ph, a nod to the original form of hacking known as phone phreaking. Phreaking was coined by John Draper, aka Captain Crunch, who created the infamous Blue Box that emitted audible tones for hacking telephone systems in the early 1970s.

By 1996, hacked accounts were called phish, and by 1997, phish were being traded among hackers as a form of currency — people would routinely trade 10 working AOL phish for a piece of hacking software.

Computerworldより:http://www.computerworld.com/article/2575094/security0/sidebar–the-origins-of-phishing.html

これは2004年1月19日にComputerworldに掲載された記事で、そこにはインターネットを「海」になぞらえて、そこで悪い人が金融データなどを「釣る」ためにメールを「ルアー」として利用する、といったような比喩が記載されています。ではなぜFishingからPhishingになったと言いますと、ハッカーたちの間では「f」を「ph」に変換する文化があるそうです。そうやってPhishing(フィッシング)という言葉が生まれたそうです。

フィッシング(Phishing)の事前準備

攻撃者は巧妙に作成された偽のメールを作成する事から始まります。例えば、ユーザから銀行のIDとパスワードを盗みたいのであれば、その銀行がユーザに対して定期的に送信しているメールマガジンやお知らせメールを参考にしてフィッシングメールを作成します。そして、その銀行のWebサイトとそっくりな偽のWebサイトを作成します。

フィッシングメールの仕組み

フィッシング(Phishing)詐欺の実行

フィッシング詐欺の準備が完了すると、実行に移ります。

フィッシング詐欺の仕組み

攻撃者はユーザにフィッシングメールを送信します(①)。ユーザはそのフィッシングメールを開いて本物であると思い込むと、そのフィッシングメールに記載されているURLをクリックして偽のWebサイトにアクセスします(②)。ユーザがその偽のWebでログインを試しますが、偽のWebサイトですのでエラーやメンテナンス画面が表示されます。しかしながら裏側ではユーザが入力したIDとパスワードは保存されて、攻撃者の手に渡ります(③)。攻撃者はそのIDとパスワードを利用して銀行のWebサイトにアクセスし、ログインして不正な送金等を行います。(④)。

広告

広告

-図解サイバーセキュリティ用語

関連記事

バックドア(backdoor)とは? 図解サイバーセキュリティ用語

バックドア(backdoor)は日本語では「裏口」という意味がありますが、セキュリティ用語では不正に仕込まれたトロイの木馬などのマルウェアの事で、C2サーバ経由で外部の攻撃者のコマンドを受け入れてパソ …

ICMP Flood攻撃、Ping Flood攻撃 図解サイバーセキュリティ用語

ICMP Flood攻撃はDoS攻撃の中のFlood系の攻撃の一種です。Ping flood攻撃とも言われます。DoS攻撃の中でも簡単な仕組みの攻撃です。どのような攻撃かと言いますと、まずあらかじめ大 …

水飲み場攻撃 図解サイバーセキュリティ用語

水飲み場攻撃は標的型攻撃の1つですが、「標的」を装わないのが特徴です。通常の標的型攻撃はターゲットに対してしつこくフィッシングメールを送付したり、ターゲットのサーバをスキャンして脆弱性を発見して悪用を …

クリアデスクとクリアスクリーンとは?ISMSとプライバシーマークに必須

クリアデスクとは クリアデスクとは、オフィスなどの不特定多数の人がいる所ではデスクから離席する際にデスク上に業務に関する書類を放置せずにキャビネットなど鍵のかかった場所に保管する方針の事を言います。英 …

ハッシュ関数、MD5とSHAとは?

ハッシュ関数とは、あるデータをインプットとしてそのデータを要約する16進数の数列を生成する関数の事を言います。ハッシュ関数はデータ固有の値(ハッシュ値)を生成しますので、データが違うとそのハッシュ値も …