XSS脆弱性を利用した、Yahoo! Mailフィッシング詐欺の巧妙かつ具体的な手口解説

ちょうどフィッシング詐欺についてのTrackBackをいただいた所でしたが、巧妙化するフィッシング詐欺の手口の詳しい解説が。こちらは絶対に読んでおいたほうがよさそうですね。

ヤフーからの通知を装った日本語フィッシングで何が起きていたか, Yahoo! Mailのフィッシング事例から得られる教訓（高木浩光＠自宅の日記）

騙されない為には、騙しのテクニックを理解する必要があるのでしょうが、ここまでくると一般的なユーザーはほとんど理解不能では。。。クロスサイトスクリプティング脆弱性（XSS脆弱性）という手口の認知度は高いものの、様々なバリエーションのクラッキングに応用可能なところが理解を難しくしていそうです。

少し前に、Amazon.co.jpから変なメールが届いて

>ご注文の際にご指定いただいたVisaカードが
>クレジットカード会社より認証されておりませんのでお知らせいたします。

どうもこれは、Amazonのシステム障害だったぽいのですが（クレジットカード番号を再入力しようとしたら「現在障害を復旧中です」と出た）、思わずドキッとしてしまいましたよ。

RSSリーダーなどで信用できるWEBサイトを見ていると思っていたら、実は中間のRSSシンジゲーション・サーバがクラックされていた、とか色々な可能性も増えてしまうのでしょうか。技術的な騙しに加えて、オレオレ詐欺のような心理的な騙しテクニックは巧妙化する一方なので、少しでも通常と違う要求をされたら、まずは一度冷静に考えることが必要そうですね。

あとは、特定のサービスを利用するのに本当に必要な個人情報以外は、登録しない・集めない、というポリシーの徹底でしょうか。SNSは信頼できるネットワークのインフラなのか、それともソーシャル・ハッキングのツールとしても使われてしまうのか、、、典型的な技術の進歩のジレンマともいえるのかもしれませんが、「必要性が理解できない要求には慎重に」というのは、騙されないための鉄則であるような気もします。