HTTPSを悪用したフィッシング詐欺が急増

5月26日(米国時間)、Threatpostに掲載された記事「Rash Of Phishing Attacks Use HTTPS To Con Victims｜Threatpost｜The first stop for security news」が、フィッシング詐欺サイトでHTTPSが使われる傾向が増加していると伝えた。正規の認証局から発行されたTLS証明書を使ったHTTPSを使用しているサイトは安全であるというユーザーの心理を逆手にとった攻撃だと指摘している。

記事は、Cisco Sysytemsのセキュリティブログをもとに書かれたもの。HTTPによる通信では通信内容の傍受が簡単にできるため、個人情報などの入力を伴う用途には適していないと考えられている。オンラインショッピングやオンラインバンクなどでは、基本的にHTTPSを利用しており、また大手検索サービスベンダーや大手SNSベンダーがこぞってHTTPからHTTPSへの移行を進めるなど、HTTPSは安全であるという認識がユーザーに広まっている。

現在のフィッシング詐欺サイトではこうしたユーザーの動向を逆手にとり、正規のTLS証明書を取得してフィッシング詐欺サイトを構築。ユーザーに安心感を与えることでサイバー攻撃を実施しやすくしている。ユーザーはサイトがHTTPSで通信しているかどうかはチェックしても、どこから発行されたどの程度のレベルの証明書であるかまではチェックしない。こうした状況がサイバー攻撃に利用されていると指摘されている。