2023.12.28

フィッシング攻撃への対策：データURIの悪用

marugotoyoten

cs50のYoutube動画「フィッシング攻撃への対策：データURIの悪用」について要点と要約をまとめました

３つの要点

要点１
フィッシング攻撃は、Gmailの詐欺などを通じて、欺瞞的なメールと偽のウェブサイトを利用してユーザーにログイン情報を明かさせることを悪用しています。
要点２
敵対者はデータURIを利用して、ユーザーを騙して資格情報を入力させる信じられる偽のログイン画面を作成しています。
要点３
Chromeなどのブラウザはフィッシング攻撃に対して一部の保護を提供していますが、ユーザーは訪れるウェブサイトの正当性を慎重に確認する必要があります。

要約

フィッシング攻撃の増加が大学キャンパス（ハーバードなど）で懸念されています。敵対者は欺瞞的なメールやウェブサイトを利用して、ユーザーにログイン情報を明かさせるよう誘導しています。
フィッシング攻撃（Gmailの詐欺など）は、見かけ上合法的なメールを送り、偽のウェブサイトへのリンクを含んでいます。これらの攻撃はハーバードを含むキャンパスで問題となっており、フィッシング試みの報告を促す啓発キャンペーンが行われています。

Gmailユーザーは、敵対者が使用する巧妙な戦術のために特に脆弱です。
敵対者は、Gmailの設計を悪用して、添付ファイルアイコンに似た埋め込まれた画像を含むメールを送信します。これらの画像をクリックすると、ユーザーは偽のログイン画面にリダイレクトされ、資格情報の入力を促されます。入力された情報は攻撃者によってキャプチャされます。これは、データURIの使用によって可能になっており、URLバーにHTML、CSS、JavaScriptを埋め込むことができます。

データURIの危険性は、信じられる偽のログイン画面を作成し、ユーザーを騙して資格情報を入力させる能力にあります。
データURIは、合法的なログイン画面の外観を模倣するウェブページの作成を可能にします。ページをbase-64でURLにエンコードすることで、攻撃者はユーザーがGmailアカウントにログインしているように見せかけることができますが、実際にはその情報が攻撃者のウェブサイトに送信されます。これは、ユーザーがこれらの巧妙なフィッシング試みの被害者になる可能性があるため、重大なリスクをもたらします。

Chromeなどのブラウザはフィッシング攻撃に対して一部の保護を提供していますが、ユーザーの警戒が重要です。
Chromeは、データURIを利用する可能性のある危険なウェブサイトを検出し、ユーザーに警告するセキュリティ対策を実装しています。しかし、ユーザーは訪れるウェブサイトの正当性を慎重に確認し、特に機密情報の入力を求められた場合には注意が必要です。フィッシング攻撃を防ぎ、個人情報を保護するために、教育と意識向上が重要です。

▼今回の動画