スプーフィングとは、サイバー攻撃の一種で、正規のウェブサイトから偽のウェブサイトへウェブトラフィックを転送することです。後者は、ユーザーがログインして詳細を入力できるように、正規のウェブサイトのように見えるように設計されています。これらの情報は、「ファーミング業者」によって収集され、違法行為に利用されるのです。

フィッシングと同様、ファーミングは、ユーザー名やパスワード、銀行口座情報などのユーザー情報を収集することを目的としています。フィッシングと比較すると、ファーミングはより巧妙で邪悪なものです。より広い網を張り、短期間でより多くのユーザーに影響を与え、企業に何百万ドルもの損害を与える可能性があるのです。

フィッシングとなりすまし

なりすましは「餌のないフィッシング」と考える人もいます。フィッシングよりもはるかに被害が大きく、パターンも異なる。フィッシングの手口を知っているユーザーも含め、多くのユーザーは、自分のアカウントに通常とは異なる取引があることに気づくまで、何が起こったのかわからないでしょう。

フィッシングは、メールやSMSで偽のWebサイトへのリンクを送ってユーザーを誘い出すものですが、一方、スプーフィングでは発見が困難です。

ユーザーが知らないうちにコンピュータを攻撃したり、場合によってはDNS（ドメインネームシステム）サーバーを攻撃して、正規のウェブサイトからトラフィックを迂回させ、ハッカーが管理する偽のウェブサイトにユーザーを誘導することもあるのです。

関連：フィッシングメールの見分け方

医薬品2品目

この種のサイバー攻撃の仕組みをよりよく理解するためには、両方のタイプのスプーフィング攻撃を理解することが重要である。

マルウェアによるなりすまし

ハッカーの攻撃方法の1つは、悪意のある電子メールや添付ファイル、ダウンロードした汚染されたアプリケーションから入手したトロイの木馬を利用することです。コンピュータのhostsファイルに入り込み、通常のURLからのトラフィックをこれらのサイトのコピーにリダイレクトさせるのです。

コンピュータのhostsファイルは、ローカルのアドレス帳と同じだと考えてください。このアドレス帳には、お客様が訪問しているウェブサイトのホスト名と、それに対応するIPアドレスが含まれています。ホスト名は、ブラウザに入力する単語で、例えば、www.google.com或者www.mybank.com。

ウェブサイトのホスト名を入力すると、コンピュータはホストファイルをチェックして、そのウェブサイトに適切なIPアドレスがあるかどうかを確認し、そのウェブサイトに接続します。

マルウェアに感染すると、サイバー犯罪者はひそかにコンピュータのhostsファイルを変更することができます。サイバー犯罪者のhostsファイルやローカルの「アドレス帳」の項目を変更することで、普段見ているサイトとほとんど同じように見える架空のウェブサイトにリダイレクトさせることができます。そのため、www.facebook.com例如 と入力すると、Facebookのように見える偽ページにリダイレクトされます。

でんせんちゅうどく

DNSサーバーは、ドメイン名とそれに対応するIPアドレスが記載された大きな電話帳やディレクトリのようなもので、サイバー犯罪者はDNSサーバーを標的にするケースもあります。サイバー犯罪者は、脆弱性を利用してDNSサーバーに侵入し、偽のDNSエントリーを入力してDNSキャッシュを汚染することができます。

そうすることで、攻撃者は、正規のウェブサイト（通常はオンラインバンキングやeコマース）からウェブサイトのトラフィックをリダイレクトし、ユーザーをクローンサイトに誘導するのです。

DNSポイズニングは、数百、数千のユーザーに影響を与えるため、より大規模なネットワークを引き起こします。さらに悪いことに、他のサーバーに感染することもあるため、"ポイズニング "と呼ばれています。

例えば、2017年には、約50の金融機関を標的とした巧妙ななりすまし攻撃が発生し、3日間で3,000台以上のPCが影響を受けました。ヨーロッパ、米国、アジア太平洋地域のお客様は、偽のウェブサイトに誘われ、サイバー犯罪者によってアカウントログイン情報を収集されました。

また、DNSポイズニングの検出もより困難になっています。マルウェアのスキャンを何十回と行っても、コンピュータには問題がないように見えても、DNSサーバーが侵害されていれば、偽のウェブサイトにリダイレクトされることになるのです。

フィッシングなどのサイバー攻撃と比較すると、攻撃者側の手間がかかるため、一般的ではありません。フィッシングがより一般的なのは、コンピュータや、さらに重要なDNSサーバーに侵入するよりも、偽のウェブサイトへのリンクを送り、疑うことを知らない被害者がそれをクリックすることを望む方が簡単だからです。

しかし、一般的でないからといって、自分の身に降りかからないとは限りません。このような攻撃から身を守る方法を学ぶことは、将来的に多くのトラブルを回避することにつながります。

なりすまし攻撃から身を守るには

このサイバー攻撃の仕組みがわかったところで、なりすまし攻撃から身を守るためのヒントと注意事項を紹介します。

ウェブサイトのセキュリティ確保

ユーザー名やパスワード、銀行口座などの機密情報を入力する前に、ウェブサイトがHTTPS（Hypertext Transfer Protocol Secure）接続を使用していることを確認してください。これは、お客様が入力される情報を保護するために、SSL（Secure Sockets Layer）証明書が発行されていることを意味します。

Webサイトが安全であることは、どのようにして確認するのですか？指標となるのは、ブラウザのアドレスバーです。小さな「南京錠」のアイコンを探してみてください。また、アドレスは「http」だけでなく、「https」で始まる必要があります。

ソースコードを確認せずにクリックしない

なりすまし型マルウェアは、一見無害に見えるファイルやソフトウェアの背後に潜むトロイの木馬の形で登場することがあります。あなたのコンピュータのバックグラウンドに潜んで、あなたの知らない間にホストファイルのエントリを切り替えて遊んでいる可能性があります。

文書、リンク、電子メールの送信元が正規のものであることを再確認してください。

信頼性の高い最新のアンチマルウェアソフトウェアを使用する

アンチウィルスソフトが最新の脅威に対して有効であるためには、定期的にアップデートする必要があります。サイバー攻撃者は、コンピューターやサーバーの脆弱性を悪用することが多く、アップデートはこれらの脆弱性を修正するためのものです。

OSやアンチウィルスソフトをアップデートすることは、フィッシング詐欺のマルウェアに対する最初の防御策です。

2ファクタ認証を有効にする

二要素認証（2FA）は、オンラインアカウントを保護するための最良の方法の一つです。特に金融情報を扱うサイトでは使用した方がよいでしょう。

2FAを有効にすると、ログインとパスワードに加えて、別途コードの入力が必要になります。このコードは、あなたの**または電子メールに送信されます。したがって、ハッカーがあなたのユーザー名とパスワードを取得しても、彼らはコードが必要なので、あなたのアカウントに侵入することはできません。

ウェブサイトの文法的な間違いをチェックする

ハッカーの目的は、シームレスなオンライン体験を提供することではなく、あなたに関する情報を収集することなので、通常、コンテンツを装飾することにそれほど時間をかけません。文法的な誤り、非常に長い文章、不正確な表現に注意しましょう。これらは、あなたのウェブサイトの正当性を示唆することがよくあります。

おかしいと思ったら、銀行に電話しよう!

フィッシング攻撃は、実行が難しく、より高度なテクニックが必要なため、フィッシングほど多くはありませんが、より煩雑で陰湿なものとなっています。アドレスバーに正しいURLが表示されていても、正規のサイトに見せかけた偽サイトに誘導することができるため、ユーザーが知らないうちに攻撃することができます。

また、マルウェアが1人のユーザーの端末にインストールされた場合、1人のユーザーに対して、あるいはDNSポイズニングの場合は複数のユーザーに対して、繰り返し攻撃を仕掛けることが可能です。

SSL証明書が無効または見つからないという警告が表示されたり、何かおかしいと感じたら、たとえ原因がよくわからなくても、銀行やサイトの***に電話して確認することをお勧めします。

写真提供：BèU A/Pixar Bay