三井住友VISAカードのフィッシングサイト

昨日当方に来た以下のメール。メール自体はやる気のないフィッシングという感じでしたので、中身を見てやろうと検証環境を起動しました。閲覧しただけでマルウェアに感染するかもしれませんので…


で表示されたのは、1回リダイレクトして、以下のサイト。デザインが本物そっくり（同じ?）なのは当然として、アドレスバーに注目ください。



ちなみに、本物はこれです。


URLを見ると、

本物: https://www.smbc-card.com/vp/create/create_user.do
偽物: http://www.smbc-card.com.xxxxxx.com/vp/create/create_user.html

ということで、違いは下記の通りです。

• 本物はEV SSLだが、偽物はHTTP（HTTPSですらない）
• ドメイン名は、偽物は先頭は同じだが、後ろに xxxxxx.com がついている
• 拡張子の違い（.do と .html）

筋論から言うと、ドメイン名の見分け方を学習してもらうべきところではありますが、一般の方に理解いただくのは中々難しそうです。ということで、

• そもそもメールに書いてあるURLは閲覧しない
• 銀行やクレジットカードのサイトは EV SSL の企業名・組織名を確認する

というあたりが対策としてよいのではないでしょうか。

ところで、twitter上では、メールの電子署名で確認できないかというコメントを頂きました。これは筋としてはよいと思うのですが…

@ockeghemメールにS/MIME署名はなかったですよね、さすがに。「ログオンを求めるメールに電子署名がなかったら疑え」と触れて回っています。「どれどれどんなフィッシングだ」と見物してDBD攻撃もあり得るので「アクセスするな」とも。
— AKEMA, Tamio (@involving_layer) 2014, 4月 29

たまたまSMBC VISAからの本物（と思われる）メールが来ていますが、本物にもS/MIME署名はありませんでした。同じSMBCでも、銀行の方はS/MIME署名がされています。

ということで、皆様もお気をつけ下さい。

PS.
拡張子の .do が時節柄気になるところではありますね。