インターネットを利用していると、掲示板やチャット、出会い系サイトや個人売買など、見知らぬ人とコミュニケーションをとる機会が度々ありますが、日頃から個人情報の取り扱いには注意していても、インターネットの特性をフルに活用すれば意外なところから個人情報が漏れることがあります。そこで、今回はそうした手口の一部をご紹介することにします。
成りすまし
ネカマという言葉はご存知ですか？ネット上で本当の性別を偽ることを言います。姿の見えないネット上のコミュニケーションではいとも簡単なことで、女性だと思い込んでメール交換を続けていて、電話番号を教えたとたんに男から電話がかかってくるなんて言うことも珍しくもありません。写真を添付して来たからといって信用できるものでもありません。そのことを念頭において、常に一線を引いた付き合い方をすることが大事です。
メールアドレスから検索
メールアドレスを教えるだけなら身元は分からないと思いますか？答えはノーです。何故なら、それがフリーメールであろうとなかろうと、ロボット検索によって何らかの関連情報がヒットすることが少なくないからです。それは例えば、会社の行事の参加者名簿であったり、自分が所属するゼミの名簿であったり、懸賞サイトのデータファイルであったり、様々です。いくら自分では公開しないように注意していても、あなたの個人情報は知らないあいだに第三者の手によって公開されていることがあるということを知っておいてください。
メールアドレスからホームページ
もしあなたがホームページを持っていた場合、メールアドレスから簡単にホームページを見つけられてしまいます。例えばメールアドレスが「user02@m7.hogehoge.ne.jp」のような形式だった場合、ここからhogehogeというプロバイダのユーザー名がuser02の人であることが推測できます。そしたら次に「http://www.hogehoge.ne.jp/~user02/」というURLでアクセスして見るだけです。
URLの表記方法はプロバイダによって微妙に異なりますが、それを知るためには実際にそのプロバイダでホームページを開設しているユーザーのURLを確認することで判明します。また、「hogehoge.com」等のように独自ドメインを取得してホームページを開設している場合だと、単に頭にwwwをつけるだけで発見できるのでもっと簡単です。もしそのドメインが会社のものであったら、あっさりと勤務先がばれてしまいます。これが見知らぬ人に正規のメールアドレスを教えるべきでない理由です。
メールの転送設定
最近は、メールボックスに届いたメッセージを携帯電話に自動転送している人も増えてきましたね。たしかに、即座にメッセージが確認できるので便利です。しかしここにひとつ落とし穴があります。以下は、私がとあるbiglobeのユーザーにメールを送った直後に返ってきたエラーメッセージです。エラーの内容を良くみると、DoCoMoの携帯のアドレスが記載されていますね。しかも電話番号そのままのアドレスです。これはまさに転送設定のミスによって招いた個人情報の流出です。つまりこの方は、biglobeのアドレスに届いたメッセージをDoCoMoの携帯にも転送するようにしていた。しかしある日、DoCoMoのメールアドレスを電話番号のものから任意のユーザー名に変更した。ところがうっかりと転送先の変更をし忘れていたため、転送を受け取ったDoCoMoのメールサーバーが「宛先不明」というエラーを返してしまった、というわけです。
これによって奇しくも私は、その方の携帯の電話番号を知ってしまう結果となりました。ここで注意しないといけないのは、エラーと言うのは必ずしも宛先不明の場合にだけ発生するものではなく、容量オーバーの場合や、一時的にメールサーバーがダウンしていた場合などにも起こり得るということです。従って、悪意ある人物が、ターゲットのメールアドレスに数メガの大きな添付ファイルを送信すると、それだけで転送先の携帯のメールサーバーから配達不能のエラーが返ってくるという結果になります。怖いですね。
The original message was received at Sun, 31 Mar 2002 00:00:36 +0900 (JST)
from fms332 [192.168.124.167] —– The following addresses had permanent fatal errors —– <09011113333@docomo.ne.jp>
(reason: 550 Unknown user 09011113333@docomo.ne.jp)
—– Transcript of session follows —–
… while talking to mfsmax.docomo.ne.jp.:
>>> RCPT To:<09011113333@docomo.ne.jp>
<<< 550 Unknown user09011113333@docomo.ne.jp 550 5.1.1 <090111133333@docomo.ne.jp>… User unknown
Reporting-MTA: dns; rcpt-expgw.biglobe.ne.jp
Received-From-MTA: DNS; fms332
Arrival-Date: Sun, 31 Mar 2002 00:00:36 +0900 (JST)
トラップサイト（偽の懸賞サイト）
懸賞好きの女性には耳が痛い話しかもしれませんが、懸賞サイトなんてその気になればいくつでも簡単に作れちゃいます。もちろんプレゼントなんて実際にはまったく用意していません。でもあたかも当選者がいるように架空の当選発表をすることだって簡単です。高額な賞品につられてやみくもに個人情報を入力すれば、スパムメールやダイレクトメールの名簿として悪用されることもあるでしょう。そればかりでなく、これはストーカーがターゲットの身元を調べるためにも利用される手口です。その場合には、あなただけに入力させる必要があるため、サイトの存在は非公開にしておき、あなただけにメールで懸賞応募の誘いを送ることでしょう。私はこれを逆手にとって、ストーカーのメールアドレスから氏名や住所を突き止めるために利用します。まさに狐と狸の化かし合い。
環境変数から接続場所
普段何気なくホームページを閲覧しているあなた。でも訪問先のウェブサイトの管理者には、訪問者に関する様々な情報が通 知されているのです。その原因は、ブラウジングソフトが吐き出す環境変数です。これを見ることで、訪問者が利用しているコンピューターのOSやブラウザの種類は何か、どこのプロバイダのユーザーか、どこからリンクを辿って来たのか等が分かります。むろんこれらが知られたからと言って、即何かの危険に繋がると言うものではありませんが、会社の中から掲示板荒らしなどをやった日には、即刻会社に苦情が来ることはこれでお分かりですね。
メールパスワードの乗っ取り（パスワードリマインダ）
ストーカーにとって気になるのはターゲットのメールの内容。その為、なんとかしてメールのパスワードを手に入れようと画策しています。ここまでの話しで、知らない人にはフリーメール以外は教えないようにと申し上げてきましたが、ここになってそれがあだになるケースが出てきます。それが「パスワードリマインダ」を悪用したパスワードの乗っ取りです。フリーメールの場合にはもともと登録の際に本人確認を行っていないため、あらかじめ設定しておいた「秘密の質問」に答えることが出来た時点で本人とみなし、パスワードの確認や再設定がウェブ上で出来てしまうのです。従って、他人に簡単に推測されてしまうような質問と回答は、もはやパスワードが乗っ取られるのを待っているようなものだと認識してください。
今回は国内主要フリーメール3社のパスワードリマインダの機能を比較してみました。
（ヤフーメール）
ヤフーメールでは秘密の質問と言う概念はありません。
その代わり、事前に登録した生年月日と郵便番号で本人確認を行い、それが一致すれば登録してあるメールアドレス宛にパスワードが通 知されるようになっています。従ってパスワードが他人に通知されることはありません。
（ホットメール）
秘密の質問に正解すると同時に新しいパスワードが設定されます。
質問と答えによっては簡単に乗っ取り可能ですが、パスワードが変わってしまうので相手もすぐに気付きます。
（エキサイトメール）
あらら、これは大変です。秘密の質問に答えると、その場で画面上に現在のパスワードが表示されます。これだとパスワードは変更されないので、気付かないままにメールを盗聴され続ける可能性があります。
●メールパスワードの乗っ盗り（ダミーページの送りつけ）
パスワードリマインダの項では一部のフリーメールで安全が確認できましたが、手口を変えれば結果 も変わります。その手口とは、偽のログインページに誘導する方法です。以下の画面 は、実際に被害者の女性にHTML形式メールで送られてきた偽のログインページです。差出人はヤフーの正式なメールアドレスです。表面 上は本物のログインページと同じですが、ソースを見るとフォームデータの送信先が異なっています。しかし女性はそこまで確認する知識を持っていなかったため、あっさりとストーカーにパスワードを通 知してしまったのです。これは人の心理をついたハッキングの手法で、ソーシャルエンジニアリングと呼ばれています。
どうですか？
いろんな犯罪の手口があるものだと驚かれたことでしょう。もはや対岸の火事と言ってる場合ではありません。でもそんなことよりも、これだけの知識を持っている私が悪事に走ったら怖いなー、と思う方もいるでしょう。ご安心下さい。なんてったってWEB110はKnight of Justiceですから。
PAGE END
