JPCERT/CC Alert: 国内ブランドを装ったフィッシングサイトに関する注意喚起 - 家庭内インフラ管理者の独り言（はなずきんの日記っぽいの）

フィッシングを注意するのは金融機関だけではないという話。
    
        2008年1月28日より国内組織 (銀行と ISP) のフィッシングサイトが公開されているという報告を複数受理しています。
今回、金融機関のフィッシングサイトだけではなく ISP のフィッシングサイトが出現するという、これまでとは異なった傾向が現れています。
    
コレには、注意事項が数点かかれています。
    
        [オンラインサービスの利用者]
　(1) 不審なメールには注意する
　(2) アクセスするウェブサイトのドメイン名を確認する
　(3) 情報を入力する際にはウェブサイトの安全性を確認する
    
実際問題、オンラインサービスの利用者に対してこれだけではかなり難しいんじゃないかなと思う。
http://［銀行OR正規のISPのURLっぽいの］.example.com/だとか、http://www.example.com/［銀行OR正規のISPのURLっぽいの］/みたいにあったら、
なんとなーく正しいかも？という気がする人が多いのは、色々な年配の人と話していてよくあることだし、
ウェブサイトの安全性＝httpsということでもないと思うので、ここはやっぱり、信頼しすぎるのはどうかと思うけど、
フィッシング検出系のツールを使用するほうが良いと思うのです。
不審なメールは、何を持って不審と思うか？というのもあるだろうし、難しいですね。
    
        [サーバ管理者]
・パスワードが設定されていないユーザアカウントがないか
・脆弱なパスワードが設定されていないか
・不要になったユーザアカウントが残っていないか
・試験目的で設置し、長期間管理されていないサーバがないか

併せて、ユーザに対してパスワードの定期的な変更を促すこともお勧めします。パスワード以外の認証方式の導入も有効です。
    
それ以外に、サーバの設定を見直すだとか、
公開しているアプリケーション(Hiki等)のバージョンは最新のものか？そういうこともきちんと把握しないとですね。

あとは、きちんと最近の傾向などを把握しておくのも大事かなぁ。
「ID盗難・フィッシング詐欺の動向と対策」セミナー資料の掲載:フィッシング対策協議会に、
２００８年１月３０日（水）に実施された｢ID盗難・フィッシング詐欺の動向と対策｣の資料が掲載されています。
以下の4講演の資料が見れるので、ぜひ、一読してみてください。
    
        講演１．米国金融機関に対する電子犯罪の状況と対策の展望
　　　　　Peter Cassidy氏 （米Anti-Phishing Working Group [APWG] 事務局長）
講演２． Yahoo!JAPANにおけるフィッシング対策
　　　　　吉田 奨氏 （ヤフー株式会社 法務部 マネージャー）
講演３．マルウェアとID盗難 - その動向と対策
　　　　　野々下 幸治氏 （ウェブルート・ソフトウェア株式会社テクニカルサポートディレクター）
講演４．フィッシング: 国内外の最新動向とJPCERT/CCの取り組み
　　　　　小宮山 功一朗氏　（JPCERTコーディネーションセンター[JPCERT/CC]
　　　　　早期警戒グループ 情報セキュリティアナリスト）
    
フィッシング詐欺サイト情報 みたら、yahoo.comのフィッシングサイトがまたあるんですね。

参考：サイトttp://sponsored-adcustoms.com/users/search-marketing/yadpage/adui/loadSignin.htmの調査結果:aguse.net
記事：国内有名サイトの偽サイトが横行――JPCERT/CCが注意を呼びかけ - ITmedia エンタープライズ
　　　現行のフィッシング対策はエンジニアの「机上の空論」？ − ＠IT