高木浩光＠自宅の日記

■ ウゲ、イーバンク銀行の誤ったセキュリティ解説

イーバンク銀行のセキュリティについてのページに、「よくわかるイーバンクナビ」というFlashコンテンツが置かれていた。

その中の「セキュリティについて」に「イーバンクのフィッシング対策」という項目があるのだが、その内容が間違っていて、その通りに覚えた人は危険だ。

図1: イーバンク銀行の「よくわかるイーバンクナビ」の一シーンより引用

おいおい、「メールアドレスが似てたら」って……、似てるとかいう問題じゃないじゃろが。同じだったらいいっていうの？

図2: イーバンク銀行の「よくわかるイーバンクナビ」の一シーンより引用

それじゃ駄目じゃろが。「/」まで確認しないとだめじゃろが。実際、「フィッシング詐欺サイト情報」の7月28日のエントリに報告されているように、

● ebay.comの偽サイト 以下のように複数あります
ttp://signin.ebay.com.WMRgh.aw0confirm.com/sc/ebay/index.php?eBayISAPI.dll=nouac
ttp://signin.ebay.com.8TFfB.aw0confirm.com/sc/ebay/index.php?eBayISAPI.dll=nouac
ttp://signin.ebay.com.fr43S.aw0confirm.com/sc/ebay/index.php?eBayISAPI.dll=nouac
ttp://signin.ebay.com.e1aRQ.aw0confirm.com/sc/ebay/index.php?eBayISAPI.dll=nouac
ttp://signin.ebay.com.6dzPj.aw0confirm.com/sc/ebay/index.php?eBayISAPI.dll=nouac
ttp://signin.ebay.com.u9kwr.aw0confirm.com/sc/ebay/index.php?eBayISAPI.dll=nouac
ttp://signin.ebay.com.ePbr9.aw0confirm.com/sc/ebay/index.php?eBayISAPI.dll=nouac

フィッシング詐欺サイト情報, 2006年7月28日

「http://signin.ebay.com」で始まることを確認したってだめなわけで、「.com/」まで見ないといけない。

図3: イーバンク銀行の「よくわかるイーバンクナビ」の一シーンより引用

だからさー、どうやってメールの送り主を確認するわけ？

素人に作らせるとこうなる。というか、このアニメーションを作らせるのに使われたと思われる元の解説からして間違っている。

・ＵＲＬの最初が、「https://fes.ebank.co.jp」であることをご確認ください。

フィッシング対策, イーバンク銀行

図4: イーバンク銀行の「よくわかるイーバンクナビ」の一シーンより引用

「イーバンクがメールで個人情報をきくことはない」ですって？ どうしてそういう事実に反することを平気で言うのかね。

図5: イーバンク銀行の「よくわかるイーバンクナビ」の一シーンより引用

自分でそう言ってるわけで。どうしてこうデタラメなんだ。しかも、画面のURLがニセくさいURLになってるし。

■ 三菱東京UFJ銀行の要領を得ないセキュリティ解説

東京三菱UFJ銀行の「「三菱東京ＵＦＪダイレクト（旧東京三菱）」ご利用時に真正なサーバーであることを確認する方法について」の出来も悪い。

図6: 「三菱東京ＵＦＪダイレクト（旧東京三菱）」ご利用時に真正なサーバーであることを確認する方法について より

なぜか「/」の前に空白を入れているという雑ぶりはともかくとして、どうでもいいパス名部分まで覚えさせるつもりなのか。「mufg.jp」だけが要点だってことをなぜ言わないのか。

別のページの「金融犯罪にご注意ください」でもこうだ。

【三菱東京ＵＦＪ銀行のSSL（暗号化通信）証明書】
・三菱東京ＵＦＪ銀行のドメイン名は「bk.mufg.jp」です。証明書の「発行先」は「www.bk.mufg.jp」「www02.bk.mufg.jp」「direct.bk.mufg.jp」のように、「bk.mufg.jp」で終わっています。

なぜ「bk.」まで入れるのか？ なんだか、基本的なことがわかってないらしい*1。

■ 「簡単！やさしいセキュリティ教室」にS/MIMEの解説

簡単！やさしいセキュリティ教室」に、「電子メールが本物であることを確認するしくみ」というコラムが追加されていた。

よくできている。