２段階認証をねらった偽サイトが急増中 | NHKニュース

インターネット決済などで、セキュリティーを高めるために使われる「２段階認証」をねらった偽のサイトが増えているとして、情報セキュリティー会社が注意を呼びかけています。 情報セキュリティー会社の調査によりますと、この「２段階認証」をねらった偽のサイトがことし９月だけで94件確認され、前の月から倍以上に増えていたということです。 具体的な手口としては正規の金融機関などを装って、情報を盗み取る偽のサイトに誘導してＩＤやパスワードを盗み取り、そのうえで、スマートフォンなどに送られてきた２段階認証の暗証番号も入力するよう求めるメッセージが表示されるということです。 入力してしまうと不正に決済されるなどの被害にあうおそれがあるということで、セキュリティー会社ではいつもと異なる手順で暗証番号の入力が求められるなど違和感があった場合は、改めてサイトを確認するよう注意を呼びかけています。 調査を担当したトレン

[gabill]

偽サイトにIDパスワードを入力→偽サイトが正規サイトにIDパスワード入力→正規サイトからSMS届く→偽サイトに正規の暗証番号を入力→偽サイトが正規サイトに暗証番号を入力...かな。

[sutego386]

悪い人の創意と工夫にはいつも感心させられる、いやマジで。

[civicpg]

銀行やECサイトから来たなんらかの依頼メールは、メール内URLは使用せず内容を読んだら、検索から銀行サイトトップにアクセスしてやるべきことするようにしてる。（検索結果が汚染されたらこれもヤバい）

[ykhmfst2012]

具体的な仕組みを書いておらず不安を煽るだけの記事。トレンドマイクロが絡んでるってことは新しいキャンペーンでも始めるのかしらん。

[mezamashi0540]

二段階認証はアクセスしているサイトの正当性を確認するものじゃない。サイト側がアクセスしてきた人について正当か確認するもの。トレンドマイクロの山外一徳さんの理解がおかしい。

[gm91]

SMS使った二段階認証って言うほどセキュアじゃない気はする。

[tadasukeneko]

"調査を担当したトレンドマイクロの山外一徳さん"

[azzr]

OTP型や携帯電話に認証ダイアログを送るタイプの2段階認証はフィッシングに弱い、というのは既知の問題。URLをユーザーに目視確認させるのは確実性に欠ける。U2Fのように、鍵に送り込むURLをごまかせないものを使うべき

[tana005]

要するに、URLの目視確認大事だ。

[monochrome_K2]

ブコメの情報で確かにSMSの認証コードを偽サイトに入力したら通ってしまう可能性はありそう。そういう意味でSMSには認証コードより認証URLを送った方が安全なのかなと思う

[kiyo560808]

認証コードではなく認証URLを送るようにしたらリスクを減らせそう。

[daybeforeyesterday]

うーむ

[tanakh]

えっこれって本物のサイトにパスワードリダイレクトして、認証メッセージ送らせるのか？よく考えたら二段階認証でもただプロキシすれば通るよな。この辺耐性ある方法って何かあるんかな。

[tagajun0310]

リテラシー低い人は、よくわからないメールにいちいち反応してしまうみたい…… うちの親がそうでした

[heiankyo4gou]

ひぃ、怖いなぁ 気をつけよう

[adsty]

偽サイトへの誘導から気を付けなければならない。

[uunfo]

「確認してほしい」って何を確認するのか書かないの？ドメインでしょ／「検索から銀行サイトトップにアクセス」にそんなに星付くのか…。メール内URLのドメイン見ようよ／SMSにURL載せたら偽URLでもクリックするよね

[you21979]

はやくWEBAUTHNに切り替わらないかな。この手のやつなくなるで

[hateshinaiz]

3段階認証じゃないと信用しないことにすれば良い

[kotetsu21]

A

[soundkenjine]

IT担当大臣：やっぱ判子だろ

[Fushihara]

そろそろドメインの階層構造を一般常識にして *.mufg.jp かどうかをチェック！って言えるようにしよう

[kaiton]

もう、ブックマークからしかログインしないこと、自分がパスワードリセットとか操作した時を除いて…

[tockri]

立ち止まって確認ってなにを？って、１０人視聴者いたら５人は思うよね。残りの５人は確認しない。たぶん「今入力してる画面のドメインがその会社かどうか」確認しろってことかな、記者さんちゃんと伝えて！

[naofumit]

もー生体認証でいいんでない？ iPhoneもAndroidでもできるよね。

[zzzbbb]

「2段階認証にも気をつけろ」じゃなくて、そもそも偽メールが発端でしょ。気をつけるべき点がズレてる。詐欺師が売る商品なんかどうでもよくて、詐欺師に気をつけるべきだっていう話。

[yomogi]

映像の画面を見る限り、ネットバンキングやdocomo系のログイン画面の偽装サイトが出ているのかな。

[takeshi0206]

これ確認じゃなくメールやメッセージのリンクを踏まずに正規のサイトから入るとか、そもそも固定値使わない認証方法を選んでおくとか言わないと。“情報を入力する前には、一度立ち止まって確認してほしい”

[quabbin]

フィッシングは強いな…

[naari_3]

めんどくさい実装だ

[ptpadan]

これって何か目新しい手法なの？

[UME]

そういうの見つけるたびに大量に情報入力するシステム作って動かしてます。割と売れるかと思ったんだけど誰ももうからないんですよねこれ

[dgen]

何年も前からある手口。メールから偽サイトのリンクを踏ませるのでわかりやすいけど騙される人もいるのか。自発的に認証する時以外のメールは全部黒。

[tohima]

銀行からメールが来ても全てアプリで対応してる。これ以外は怖い。

[UhoNiceGuy]

7payを笑ってた人、巧妙に仕組まれた詐欺は回避できない。常に騙されるかもという意識は必要。トレンドマイクロの製品を使ってもね

[ka-ka_xyz]

予め登録済みの連絡先に対してワンタイムコードが送信されるから意味があるのであって、"改めてサイトを確認するよう注意"ではなく「二段階認証時に送信先を入力させるようなサイトは罠、即pwd変更」なんじゃね感が。

[JORG]

正しいサイトの識別方法という基本的な啓蒙を怠ってきたツケが出たなという感がある。また変なアプリ入れさせて解決、みたいな感じになるんだろうな

[securecat]

ますますパスワード管理ソフト手放せないよな。URL照合してとか素人(?)には無理でしょ

[homarara]

これ、この間話題になった電話使った手口を自動化したものだよな。