フィッシングサイトを踏んだ話

 普段「フィッシングメールに気をつけましょう」と言っている側の人が、あっさりとリンクを踏んでしまった。

やはり人間の認知こそが最大のセキュリティホールであることを自覚し、とても反省したので記録に残します。

引っかかった環境

• AndroidのYahoo!メールアプリ

• 昔からWebサービスやメルマガの登録に使っているアドレスのため、かなり汚れていて、スパム・フィッシング等のメールが毎日たくさん来る。

自分の背景

• スパムメールの観測はそこそこ好きで、PCからだと配信元や誘導先を調査したりしている。

• SBI証券に口座を持っている。

• 昨今のネット証券各社の不正取引のニュースを気にしており、つい先日ログイン方法をFIDOに変えた。

対象のフィッシングメール

普通に見れば、どうみてもフィッシング。

なぜリンクを踏んでしまったか

• 朝の通勤中でぼけーっとしていた。

• SPF・DKIMが(不正なドメインで)PASSしており、SPAMフィルタにひっかからず、受信箱に入ってきていた。

• 日本語が比較的まともだったので、中身をよく精査しなかった。

• ここ最近、証券各社から正規の注意喚起メールがたくさんきていたので、その一環だと思った。

• ちょうどSBI証券の認証を変えたばかりだったので、「今一度ログインを確認しておくか」と思った。

うーん、言い訳の数え役満。

リンクを踏むとどうなるのか

Chrome先生の神Blockが発動。

Google Safe Browsingのブラックリストに一致し止めてくれました。Chomeだけでなく、Firefox、Edge等でアクセスしても同様となります。

なお、別途隔離環境で調べたところ、接続先はHTTPSで証明書も正しく構成されていましたが、アクセスするとSBI証券のログイン画面にリダイレクトされるようになっていました。ごにょごにょ。

反省点まとめ

• わかってはいたものの、メールの日本語がまともかどうかという判断ポイントは、もう捨てないとダメ。

• 人間、興味関心のあるメールはつい見てしまう。

• Google Safe Browsingはホントすごいが、いたちごっこなので、必ずしも助けてくれるわけではない。

以後気をつけますとしか言いようがないのが悲しい…。