DNS情報の不正書き換え

明日成田から帰ります。とあるMLで大手ショッピングサイトそっくりのメールやWebサイトでクレジットカード番号の入力をうながす被害が出ている、という話がありました。単純な「見た目を似せたメール＆サイト」という意味では PayPalでも似たような手口に合ったことがありますのでBlogを引用しておきます。 http://ameblo.jp/akihiko/entry-10004298103.html あとはCitiBankでもそっくりメールをもらったことがあります。銀行サイトなどでは「ブラウザに表示されるURLをしっかり見て」と書いてありますが、最近の拡大しつつある被害というのはもっと巧妙な手口と思われますのでまとめておきます。キーになるのは「DNS情報の不正操作」ですが、これが成功すると、大手Webサイトに完全に成りすますことが出来るのと、そこに届くはずのメールなども盗み見できてしまいますし、同様に公式の連絡に見せかけたメールの発信なども出来てしまいます。「メールの盗み見」という意味では、管理者であれば原理上、自分のサーバに届くメールはすべて読めてしまいますので、 DNS情報を書き換えて、メール配信の過程で中継を出来るサーバを作ってしまえば、メールを盗み見ることは可能です。 DNSを使わないメールの盗み見を実現する方法としては、例えばターゲットとなる大企業のメールサーバに悪意のプログラムを設定し、注文内容やパスワードなど、キーワードを設定して自動で悪人の助けになりそうなメールだけをサーバ管理者が気がつかないうちに回収し続けることは可能でしょう。ただ、そんな大掛かりなことをしなくても、そもそもショッピングサイトやプロバイダの DNS情報の設定の甘いサーバを探し出して、完全犯罪を成立させることのほうが容易です。例えばこういう事例 http://japan.zdnet.com/column/btl/story/0,2000052832,20084788,00.htm 似たような事例ではファーミング http://www.keishicho.metro.tokyo.jp/haiteku/haiteku/haiteku408.htm 詳しくは「DNS Positioning（ポジショニング）」と呼ばれることになりそうです http://www.itmedia.co.jp/enterprise/articles/0503/09/news048.html 三重県運営のサーバへの攻撃被害例 http://www.itmedia.co.jp/enterprise/articles/0507/29/news086.html 恐怖ばかり煽って簡単に対処するためのクライアント向け情報が見つからないのですが、おそらく「あやしい？」と思った瞬間にやるべき行動はこれだと思います。【tracerouteによる経路探索】今自分が使っているコンピュータが、どういう経路で目的のサイトにたどり着いているか調べるコマンド。経路の正確さについては保証できないが、明らかに怪しいサイトに向かっている場合は見て判る結果が出る。 DNS情報は時間がたつと更新されてしまうので、事件発生後の調査のためにも役に立つと思われます。 WindowsXP等の場合 (1)「スタートメニュー」→「ファイル名を指定して実行」→「cmd」　これでコマンドプロンプト（黒画面）が現れます。 (2)tracert www.amazon.com というように「tracert (+目的サイト名)」としてEnter 　これで経路が表示されていきます。　途中で止まったり悩んだり、数字でしか表示されないIPアドレスばかり出るときは注意が必要です。 (3)逆引きしてみる　黒画面からnslookup (+サイト名)とすることでも目的のサイトのIPアドレスが表示されます。　上記の三重県のサーバーのように本来他の目的を持って使われているサーバが仮宿として使われている場合、　http://207.171.166.102/ というようにIP名でホームページを見ると別のサイトが表示されてしまったりします。　またnslookup 207.171.166.102 というようにIP→ドメイン名の逆引きを行ったときに違うドメインが表示された場合は、　かなり危険だと思ってよいのではないでしょうか（最近のメールサーバーならこれは信頼できないサーバと扱われます）。　なおyahoo,google等の大規模サイトでは複数のIPが表示されることもありますが、これは正しい挙動です。いまちょうどamazonで試してみましたが、PHSとケーブルテレビで表示される経路とサイトが違ったりしてけっこう不安な感じです。単にDNSポジショニング対策のメンテナンス中なのだと信じたいのですが。ただ上記のように経路を確実にする習慣さえつけておけば被害者は減らせると思います。むしろ運営サイトやOS、ブラウザのほうでやってもらいたい機能ではありますが…。皆さんご注意くださいね。