「正規のサーバー証明書を使ったフィッシング・サイトが2005年末から登場している」。フィッシングを研究するセキュアブレインの星澤裕二プリンシパルセキュリティアナリスト(写真)はこう警告する。 第3者機関に認証をもらっていないサーバー証明書は,アクセスした瞬間にポップアップで警告が出るため,不正を見破りやすい。ところが,正規のサーバー証明書を使って暗号化するWebサイトでは,警告画面を表示せず,すぐにWebブラウザの右下に「鍵マーク」が出る。 これまで正規のサーバー証明書があれば,フィッシング・サイトである可能性は低いと考えられてきた。というのも,正規のサーバー証明書を取得するには,企業の身元を証明する必要があったからだ。身元を明らかにしたくない犯罪者にとって,サーバー証明書を取得するのはリスクが高い。ところが星澤氏によれば「電子メールのやり取りだけで,サーバー証明書を取得できるサービスが最