第二回 フィッシングの名前の由来
フィッシングというと、誰もが魚釣りのフィッシングを思い浮かべるだろう。しかしフィッシング詐欺は英語で書くと Phishing である。Fishingではない。
辞書でPhishingの意味を調べようと思っても辞書には載っていない。それはPhishingは造語だからだ。
なぜそうなったのかいくつかの説がある。もっとも有力な説はメールで餌をまいておいて、情報を釣り上げる手口からフィッシングと呼ばれているが、ハッカーたちがFishingのFをわざわざPhに置き換えて呼んでいるという説だ。
なぜPhに置き換えるのかというと、ハッカーは昔からPhで始まる言葉を好むからである。電話を不正利用するFreakingと行為をPhreakingと呼ぶのもその理由からだといわれている。Phは洗練されたという意味のSophisticatedから取り出して使っているそうである。
語源はこのくらいにして、今回はフィッシングに対する日本人の意識を取り上げたいと思う。
フィッシングの被害はここ数年急激な伸びを見せていて、欧米では大問題になっている。特にインターネットをビジネスインフラとしている金融系の企業にとってはフィッシングは大問題なのだ。例えばシティバンクに口座を持っている人はフィッシングが無い場合でもシティバンクから月に10通くらいメールが来ていたらしい。それが2年前くらいからシティバンクから10通、シティバンクを装ったフィッシングメールが10通という状況になったそうだ。つまりシティバンクからのメールの50%は詐欺を目的としているので、もう怖くてシティバンクのメールは全部見なくなったそうだ。それ以外にもオークションサイトやショッピングサイトのメールは、まずフィッシングを疑うそうだ。というくらいフィッシングメールはスパムと同じくらい大問題になっている。金銭的な被害がでるという意味ではスパムよりも大きな問題といえる。これが現在の欧米の現状だ。
2年前くらいまでは日本ではフィッシングという言葉を知っている人はほとんどいなかっただろう。昨年VISAジャパンの日本語フィッシングサイトで初の実被害がでて、初めてフィッシング詐欺という言葉を知った人も多いことだろう。あるいはこのブログを読むまで知らなかった人もいるかもしれない。
それくらい日本では今日現在フィッシング詐欺に対する一般消費者の意識は薄い。実は筆者はこの状況を非常に危惧している。欧米でこれだけ問題になっているのだから、日本で被害が少ない今のうちに対策を施しておけば、日本のほとんどの企業は被害を水際で止められるのに、そういいう意識が無いのである。自分が被害にあって痛い目にあうまでは対策しようとしないのである。「またか」という感じである。
日本人はセキュリティ意識の低い民族であると良く外国の人が言う。私はこれは日本が島国なので、セキュリティに無頓着な民族であると考えている。島国は国境というものが目に見えないし、周りの国との交流が少ない。国境で自国を守るという考えもない。だから日本人は自分が被害にあうまでなかなかセキュリティ対策をしないのである。以前も同じことがあった。私は今日の状況をみて1995年ごろのコンピュータウイルス対策の状況を思い出した。
1995年ごろには、欧米でコンピュータウイルス対策はすでに常識になっていたが、日本人はコンピュータウイルスに全く関心を示さなかった。私は当時ウイルス対策ソフトを販売する仕事もしていたが、欧米の被害状況などをいくら説明しても「日本はまだ大丈夫なんだろう？」とか「そんな被害がでるかどうか判らないのに、そんなことに投資はできない」という人たちばかりだった。
先進的な企業の何社かは早くからコンピュータウイルス対策を実施していたが、1995年ごろはほとんどの企業が何も対策していなかった。自分が被害にあうまでは対策の必要は無いだろうと考える人がほとんどだった。
そうやって対岸の火事だと思っていた人たちはMelissaやLoveLetterウイルスにやられて大被害をこうむった。CIHにやられた人はBIOSやハードディスクを壊された。やられた人たちはみな口をそろえてこういった。
「もっと早くからウイルス対策をやっておくべきだった」
このころのコンピュータウイルスと同じように、現在の日本企業はフィッシングはまだ他人事だと思っている。やられてからでは遅いことをわかっていないのである。
VISAジャパンは日本での被害の第一号になったとはいえ、VISA自体はグローバルカンパニーなので、フィッシングされたらどう対処すれば良いのかノウハウが蓄積されているので、そんなに被害が大きくならずにすんだのである。
今日本の企業が海外の犯罪組織によってフィッシングされてしまったら、恐らくどう対応すれば良いかわからない企業だらけだろう。すでに欧米でたくさんの被害が出て、対策方法の事例もたくさんあるのだから、早くからフィッシングに備えて社内の連絡体制や対応手順を整備するべきだが、そういうリスクマネジメントをできる企業は日本ではまだまだ少ない。
経済産業省は昨年12月にいち早くフィッシング詐欺対策連絡会議を立ち上げた。今後はフィッシング詐欺対策協議会が設立され、フィッシングに対する情報の集約や、対策ガイドラインの作成などが行われる。
私がお役所に期待するのは、欧米の状況を詳しく日本に紹介するレポーティングと、国内の被害状況の共通インフラである。日本はまずこの2つの情報インフラが不足している。一日も速く協議会を発足してほしい。
次回は、インターネット利用者の自己防衛策を取り上げる。
辞書でPhishingの意味を調べようと思っても辞書には載っていない。それはPhishingは造語だからだ。
なぜそうなったのかいくつかの説がある。もっとも有力な説はメールで餌をまいておいて、情報を釣り上げる手口からフィッシングと呼ばれているが、ハッカーたちがFishingのFをわざわざPhに置き換えて呼んでいるという説だ。
なぜPhに置き換えるのかというと、ハッカーは昔からPhで始まる言葉を好むからである。電話を不正利用するFreakingと行為をPhreakingと呼ぶのもその理由からだといわれている。Phは洗練されたという意味のSophisticatedから取り出して使っているそうである。
語源はこのくらいにして、今回はフィッシングに対する日本人の意識を取り上げたいと思う。
フィッシングの被害はここ数年急激な伸びを見せていて、欧米では大問題になっている。特にインターネットをビジネスインフラとしている金融系の企業にとってはフィッシングは大問題なのだ。例えばシティバンクに口座を持っている人はフィッシングが無い場合でもシティバンクから月に10通くらいメールが来ていたらしい。それが2年前くらいからシティバンクから10通、シティバンクを装ったフィッシングメールが10通という状況になったそうだ。つまりシティバンクからのメールの50%は詐欺を目的としているので、もう怖くてシティバンクのメールは全部見なくなったそうだ。それ以外にもオークションサイトやショッピングサイトのメールは、まずフィッシングを疑うそうだ。というくらいフィッシングメールはスパムと同じくらい大問題になっている。金銭的な被害がでるという意味ではスパムよりも大きな問題といえる。これが現在の欧米の現状だ。
2年前くらいまでは日本ではフィッシングという言葉を知っている人はほとんどいなかっただろう。昨年VISAジャパンの日本語フィッシングサイトで初の実被害がでて、初めてフィッシング詐欺という言葉を知った人も多いことだろう。あるいはこのブログを読むまで知らなかった人もいるかもしれない。
それくらい日本では今日現在フィッシング詐欺に対する一般消費者の意識は薄い。実は筆者はこの状況を非常に危惧している。欧米でこれだけ問題になっているのだから、日本で被害が少ない今のうちに対策を施しておけば、日本のほとんどの企業は被害を水際で止められるのに、そういいう意識が無いのである。自分が被害にあって痛い目にあうまでは対策しようとしないのである。「またか」という感じである。
日本人はセキュリティ意識の低い民族であると良く外国の人が言う。私はこれは日本が島国なので、セキュリティに無頓着な民族であると考えている。島国は国境というものが目に見えないし、周りの国との交流が少ない。国境で自国を守るという考えもない。だから日本人は自分が被害にあうまでなかなかセキュリティ対策をしないのである。以前も同じことがあった。私は今日の状況をみて1995年ごろのコンピュータウイルス対策の状況を思い出した。
1995年ごろには、欧米でコンピュータウイルス対策はすでに常識になっていたが、日本人はコンピュータウイルスに全く関心を示さなかった。私は当時ウイルス対策ソフトを販売する仕事もしていたが、欧米の被害状況などをいくら説明しても「日本はまだ大丈夫なんだろう？」とか「そんな被害がでるかどうか判らないのに、そんなことに投資はできない」という人たちばかりだった。
先進的な企業の何社かは早くからコンピュータウイルス対策を実施していたが、1995年ごろはほとんどの企業が何も対策していなかった。自分が被害にあうまでは対策の必要は無いだろうと考える人がほとんどだった。
そうやって対岸の火事だと思っていた人たちはMelissaやLoveLetterウイルスにやられて大被害をこうむった。CIHにやられた人はBIOSやハードディスクを壊された。やられた人たちはみな口をそろえてこういった。
「もっと早くからウイルス対策をやっておくべきだった」
このころのコンピュータウイルスと同じように、現在の日本企業はフィッシングはまだ他人事だと思っている。やられてからでは遅いことをわかっていないのである。
VISAジャパンは日本での被害の第一号になったとはいえ、VISA自体はグローバルカンパニーなので、フィッシングされたらどう対処すれば良いのかノウハウが蓄積されているので、そんなに被害が大きくならずにすんだのである。
今日本の企業が海外の犯罪組織によってフィッシングされてしまったら、恐らくどう対応すれば良いかわからない企業だらけだろう。すでに欧米でたくさんの被害が出て、対策方法の事例もたくさんあるのだから、早くからフィッシングに備えて社内の連絡体制や対応手順を整備するべきだが、そういうリスクマネジメントをできる企業は日本ではまだまだ少ない。
経済産業省は昨年12月にいち早くフィッシング詐欺対策連絡会議を立ち上げた。今後はフィッシング詐欺対策協議会が設立され、フィッシングに対する情報の集約や、対策ガイドラインの作成などが行われる。
私がお役所に期待するのは、欧米の状況を詳しく日本に紹介するレポーティングと、国内の被害状況の共通インフラである。日本はまずこの2つの情報インフラが不足している。一日も速く協議会を発足してほしい。
次回は、インターネット利用者の自己防衛策を取り上げる。
第一回 フィッシング詐欺とは
さて、このたびフィッシング詐欺についてブログを立ち上げてみた。
今回私がブログで取り上げようとしているフィッシングは、インターネットの世界で新たな脅威と呼ばれている。欧米ではすでに深刻な社会問題になっている。日本でも去年の11月に実際に被害が出て、他人事ではなくなってきた。
実は私は今、仕事上このフィッシング詐欺に、深く関わっている。深く関わっていくうちに、このフィッシング詐欺が近いうちにすごく深刻な問題になってくるのではないかと思ってきた。現実世界でも”振り込め詐欺”や、”架空請求”など深刻な問題がおきているように、電子の世界のフィッシング詐欺問題が徐々に大きくなっていくだろう。
前置きが長くなってしまったが、ますはフィッシング詐欺とはどんな詐欺なのか説明しよう。
簡単に言うと、成りすましメールと、成りすましWebサイトを使って善良な市民を騙して個人の情報を盗み、金銭的なメリットを得る行為のことをフィッシング詐欺を呼んでいる。
詐欺の流れは、以下のような流れだ。
① ある日、自分の持っている著名なクレジットカード会社から「○○カードからの重要なお知らせ」という題名のメールが届いた。
② メールを開いてみると、私の口座の期限が迫っていて、Webサイトにログインして更新ボタンを押せと書いてある。
③ メールのリンクをクリックしてWebサイトにログインしたところ、メールに書いてあったようなお知らせが書かれていて、本人確認のためにカード番号と、有効期限、暗証番号、カードの裏側の認証番号を入力して更新ボタンをクリックしろと書いてある。入力して更新しないと、期限切れで口座が使えなくなると書いてある。
④ 仕方なく情報を入力して更新ボタンを押したら、またログイン画面に戻った。
⑤ ログインしてみると、いつものように利用明細や、口座の内容が見れるようになっていた。更新が終わったんだなと安心した。
⑥ 2週間後、今月の利用明細が郵便で送られてきた。
⑦ 明細をみると、今月の請求額は限度額いっぱいの150万円だった。
以上が典型的なフィッシング詐欺の流れだ。
なぜこんなことがおきてしまうのだろう？と思われる方は、フィッシングに騙される危険性大である、今後このブログを読んで勉強してほしい。
・電子メールの送信者の名前は、実は簡単に他人の名前を使って、成りすまして送信できるのである。
・WebサイトはちょっとWebページを作ったことのある人なら実在する他人のWebサイトと見た目そっくりのページを作ってしまうことなど朝飯まえなのである。
・インターネットの世界では、カード番号と有効期限さえあればちょっとした買い物などいくらでもできるのである。
・少し高額な買い物や、融資を受ける場合もカードの裏側の認証番号と暗証番号があれば数百万円までOKのところもある。
以上のインターネットの事情を理解している人は、その気になればいつでもフィッシングを実行することができる。フィッシング詐欺を企む不届き者のことをフィッシャーと呼んでいる、フィッシャーはこうしたインターネットの脆弱な面を悪用して善良な市民を騙して、稼いでいるのである。
ある程度セキュリティの心得のある人なら、「なんでそんな手に騙されるんだ？」と思うだろう。しかし、騙される人は騙されるのである。今回の例ではわざと幼稚な例を紹介したが、実際のフィッシングの手口は年々巧妙になり、洗練されてきていて、セキュリティの知識のある人でも引っかかってしまうような、非常に良くできた手口も出てきている。
あらたな手口は徐々に紹介していくが、あまり紹介するとそれを真似する輩がでてくるので、詳細な内容は控えながら読者の皆さんが気をつけるために必要な内容に留めたいと思う。
次回はフィッシングの語源と防衛するための心得について説明する。
今回私がブログで取り上げようとしているフィッシングは、インターネットの世界で新たな脅威と呼ばれている。欧米ではすでに深刻な社会問題になっている。日本でも去年の11月に実際に被害が出て、他人事ではなくなってきた。
実は私は今、仕事上このフィッシング詐欺に、深く関わっている。深く関わっていくうちに、このフィッシング詐欺が近いうちにすごく深刻な問題になってくるのではないかと思ってきた。現実世界でも”振り込め詐欺”や、”架空請求”など深刻な問題がおきているように、電子の世界のフィッシング詐欺問題が徐々に大きくなっていくだろう。
前置きが長くなってしまったが、ますはフィッシング詐欺とはどんな詐欺なのか説明しよう。
簡単に言うと、成りすましメールと、成りすましWebサイトを使って善良な市民を騙して個人の情報を盗み、金銭的なメリットを得る行為のことをフィッシング詐欺を呼んでいる。
詐欺の流れは、以下のような流れだ。
① ある日、自分の持っている著名なクレジットカード会社から「○○カードからの重要なお知らせ」という題名のメールが届いた。
② メールを開いてみると、私の口座の期限が迫っていて、Webサイトにログインして更新ボタンを押せと書いてある。
③ メールのリンクをクリックしてWebサイトにログインしたところ、メールに書いてあったようなお知らせが書かれていて、本人確認のためにカード番号と、有効期限、暗証番号、カードの裏側の認証番号を入力して更新ボタンをクリックしろと書いてある。入力して更新しないと、期限切れで口座が使えなくなると書いてある。
④ 仕方なく情報を入力して更新ボタンを押したら、またログイン画面に戻った。
⑤ ログインしてみると、いつものように利用明細や、口座の内容が見れるようになっていた。更新が終わったんだなと安心した。
⑥ 2週間後、今月の利用明細が郵便で送られてきた。
⑦ 明細をみると、今月の請求額は限度額いっぱいの150万円だった。
以上が典型的なフィッシング詐欺の流れだ。
なぜこんなことがおきてしまうのだろう？と思われる方は、フィッシングに騙される危険性大である、今後このブログを読んで勉強してほしい。
・電子メールの送信者の名前は、実は簡単に他人の名前を使って、成りすまして送信できるのである。
・WebサイトはちょっとWebページを作ったことのある人なら実在する他人のWebサイトと見た目そっくりのページを作ってしまうことなど朝飯まえなのである。
・インターネットの世界では、カード番号と有効期限さえあればちょっとした買い物などいくらでもできるのである。
・少し高額な買い物や、融資を受ける場合もカードの裏側の認証番号と暗証番号があれば数百万円までOKのところもある。
以上のインターネットの事情を理解している人は、その気になればいつでもフィッシングを実行することができる。フィッシング詐欺を企む不届き者のことをフィッシャーと呼んでいる、フィッシャーはこうしたインターネットの脆弱な面を悪用して善良な市民を騙して、稼いでいるのである。
ある程度セキュリティの心得のある人なら、「なんでそんな手に騙されるんだ？」と思うだろう。しかし、騙される人は騙されるのである。今回の例ではわざと幼稚な例を紹介したが、実際のフィッシングの手口は年々巧妙になり、洗練されてきていて、セキュリティの知識のある人でも引っかかってしまうような、非常に良くできた手口も出てきている。
あらたな手口は徐々に紹介していくが、あまり紹介するとそれを真似する輩がでてくるので、詳細な内容は控えながら読者の皆さんが気をつけるために必要な内容に留めたいと思う。
次回はフィッシングの語源と防衛するための心得について説明する。