こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。
面白いSPAMメール（よくあるっちゃーよくあるやつ）が来たので、他の方が騙されないようにこちらで情報を晒します。
こんなSPAMメール
2021/09/30にこんな感じのSPAMメールが私のメールのSPAMフォルダに振り分けられてました。さて、下記のメール（画像）はどこがおかしいでしょうか？
日本語が微妙、というのも若干ありますが（でも気にならない程度と言うか、外資系企業なら出してきそうな日本語）、左下のロゴと右上のロゴをじっくり見てみましょう。
はい、赤丸部分をよく見てみると”a”が”アルファ（ギリシャ文字）”になっていることがわかりますね。これは一般的に「ホモグラフ攻撃」と呼ばれている偽装攻撃の一種で、一見して判断しにくいもの（アルファベットのoの代わりにギリシャ文字のオミクロンを使うなど）を使って違うURLに誘導する手法です。（参考：「本物と偽物の区別がつかないホモグラフ攻撃(Canon IT Solution)」）
わりと昔からある手法ですので皆さん既にご存知だと思いますが、実際に見てみると以外に気づかないものなので紹介してみました。ご存じない方も「こういう攻撃があるんだ」ということは知っておいて損はないと思います。
SPAMメールっぽいのが来たら？
SPAMメールかどうかは、一昔前までは「なんとなく日本語が怪しい」とかで確認できていました。また「ヘッダーで確認する」というのもありました。
しかし現在は手口も巧妙化しており、日本語も自然なものが多くなっています。また、ヘッダーで確認というのも、gmailを使っていて見ることが難しかったり、パッドやスマホだとそもそも見えにくかったりするので、適宜確認することがなかなか難しくなっています。
こちらの「国民生活センター」のページにもありますが、基本的にはURLはクリックせず、正規のURLから辿るようにしましょう。例えば今回のような場合には、実際に自分のAmazonアカウントにログインしてそこのリンクから確認をしたり、Amazonに連絡して確認をするのが確実です。決して「自分は騙されない」と思わないことが重要です。
セキュリティ系連載案内
- OSSセキュリティ技術の会による日経Linuxでの連載「IoT時代の最新SELinux入門」がITPro上で読めるようになりました。技術の会代表で第一人者である中村さん等による、最新のSELinuxの情報やコマンド類等も更新されているのでお薦めです。
- OSSセキュリティ技術の会によるThinkITでの連載「開発者のためのセキュリティ実践講座」がThinkIT上で開始しました。技術の会の中の人間で、最新の代表的なOSSセキュリティ技術を紹介していきます。
- OSSセキュリティ技術の会により、ThinkITでLinuxSecuritySummit 2018のレポートが紹介されています。
- OSSセキュリティ技術の会の面により、@ITで「OSS脆弱性ウォッチ」が連載されています。
- OSSセキュリティ技術の会の面により、@ITで「OpenSCAPで脆弱性対策はどう変わる？」が連載されています。
- OSSセキュリティ技術の会のメンバーにより、@ITで「Berkeley Packet Filter（BPF）入門」が連載されています。
日々のメモを更新しています。
セキュリティ関係で気になったニュースの備忘録を兼ねたメモを更新しています。個別で情報出せるようになる前の簡単な情報・リンクなんかも載せていきます。
セミナー情報1
コンピュータセキュリティシンポジウム(CSS)2021併設のワークショップ、 OSSセキュリティ技術ワークショップ(OWS) 2021の企画講演セッション及び、 一般論文セッションをさせていただきます。
今年もオンラインでの開催となり、OWSトラックの一般論文セッションと企画セッションを行いますので，ご参加よろしくお願いいたします。
