フィッシング

ある日、スマートフォンに「お荷物のお届け先住所に誤りがあります」「海外でのお支払いが完了しました」といった、慌てさせるようなメッセージが届いたと想像してみてください。驚いてうっかりリンクをタップすると、いつも使っているポータルサイトや銀行のホームページとそっくりなログイン画面が現れます。

疑いもせずIDやパスワード、口座番号を入力した瞬間、その情報は正規のサービスではなく、詐欺師のパソコンにそのまま送られてしまいます。詐欺師は複雑なコンピューターシステムをハッキングする代わりに、人の不安な心理を釣るエサを投げて、自分から扉を開けさせる方法を使うのです。

つまり被害者が自分の手で、大切な個人情報を差し出したことになります。セキュリティの防御壁がどれだけ頑丈でも、人の不注意な1回のクリックを突かれれば、あっけなく崩れてしまいます。

フィッシングは今や単純なメールにとどまらず、私たちが日常で使うほぼすべての連絡手段に広がっています。スマートフォンのSMSに偽のリンクを送ってだます方法はスミッシング(Smishing)、電話をかけて検察や金融当局の職員(韓国であれば金融監督院の職員)になりすます手口はボイスフィッシングと呼ばれます。

正しいウェブアドレスを正確に入力しても、詐欺師があらかじめ細工しておいた偽サイトへ強制的につなげてしまう、ファーミング(Pharming)という手口もあります。だれでもいいわけではなく、特定の個人や組織(会社の社員など)をくわしく調べ上げて、その相手専用のワナを仕掛けるスピアフィッシング(Spear Phishing)もあります。

出どころのはっきりしない緊急のお願いやお得な案内は、詐欺師の掘ったワナであることが多いのです。そのためリンクを開く前にアドレスを確認する習慣は大切な盾になりますが、ファーミングのようにアドレスが正しく見えてもだまされる手口があるので、それだけですべてを防げるわけではありません。

セキュリティの分野では、フィッシングはシステムの技術的な欠陥ではなく、人を直接だます「ソーシャルエンジニアリング(Social Engineering)」の手法に分類されます。機械的な暗号化や防御壁はとても堅牢でも、人の好奇心や恐怖といった感情は理屈の盾では防ぎにくい、という弱点を悪用するのです。

どれだけ複雑で安全なパスワードを作っておいても、管理者が詐欺師にだまされてパスワードを自分から教えてしまえば、セキュリティシステムはあっという間に無力になります。コンピューターのコードを直すよりも、人の行動や心理的なミスをコントロールするほうがはるかに難しいからです。

そのため最新のセキュリティ環境では、パスワードひとつに安全を任せません。スマートフォンでワンタイムパスワードを受け取ったり、生体情報を照合したりする二段階認証を基本にして、たとえパスワードが漏れても手元にある追加の認証手段が最後の防衛線になるよう設計されています。