米国のインターネットではフィッシング詐欺による被害が後を絶たず、金融機関や行政をはじめとする関係各方面の必死の対抗策にもかかわらず、被害額は増加するばかりだ。しかも最近は「ファーミング」と呼ばれる新たな手法も目立つようになってきた。2005年になってもますます深刻化するオンライン詐欺の現状をレポートする。

　「ファーミング（pharming）詐欺」と呼ばれる、新しいオンライン詐欺が注目を集めている。フィッシング詐欺の被害は留まるところを知らず、いまや米国では社会問題にまでなっているが、このファーミング詐欺はフィッシング詐欺の一種。着手からその成就までにタイムラグがあることから、あたかも農業の種蒔きから収穫までに似ているということで、新たにファーミングと呼ばれるようになったものである。

　ファーミング詐欺の手法は以下の通りだ。まず詐欺の対象先に何らかの形でウイルスを送り込み、パソコン内のhostsファイルやDNSのキャッシュファイルなどを書き換える。これで、ユーザーが正しいサイトのURLを入力しても、詐欺行為をしようとしている別の偽サイトへアクセスさせられてしまうという仕組みだ。

　犯罪者はいったんウイルスを送り込んでおけば、後はユーザーが自分のサイトにやってくるのを待つだけである。ユーザーはこれまでのように電子メールによるフィッシング詐欺は注意しても、自分で正しいURLを打ち込んで詐欺サイトに誘導されるファーミングでは、詐欺の被害にあったことに気が付きにくい。

　フィッシングを「phishing」と書くように、ファーミングも「pharming」と書く。いずれもインターネット社会ならではの造語である。新たなフィッシング詐欺ということで、フィッシングに対する「もじり」なのであるが、しかしこの命名や分類方法などには商業的な要素が多いという非難もある。

　つまり、セキュリティ対策を業務とする企業が、「新たな手法が蔓延しているので、さらに対策が必要だ」と自社のセールスのために生み出した言葉ではないかという指摘だ。確かにファーミングはフィッシングの1種にすぎず、ファーミングという言葉が生まれる前からも同様な手法は確認されていた。

　フィッシング詐欺対策に注力するAPWG（反フィッシングワーキンググループ）では、この種のオンライン詐欺をあえて別な名前で呼ぶ必要はなく、ただ単に「スティルス型フィッシング」と表せばよいとしている。

　新たな名前で呼ぶことにより、インターネットユーザーの不安を増加させたり混乱を招くのは、犯罪者の行為を助長させることになりかねないと警告し、安易な命名に不快感を表している。

　フィッシング詐欺は、一般社会でこれまで行われてきた数多くの詐欺行為をインターネット上に置き換えたものに過ぎない。しかも、ファーミングと呼ばれる手法はネット上で10年以上前から確認されており、決して目新しいものではない。問題となっているDNSプロトコルの脆弱性への懸念も、専門家の間では長らく協議され続けてきた。これに向けた攻撃は時間の問題であったとさえ言われる。

　幸い、現在までファーミング詐欺による大きな被害は報告されておらず、その攻撃対象も非常に限定的である。しかし、専門家は現在の蔓延はあくまでテストベッドに過ぎないだろうと予想しており、ある程度手法が確立した後には大規模にDNSプロトコルへの攻撃を開始し、多くの被害事例が噴出してくると見られている。

　似たような犯罪のためのテストと見られる攻撃は他にもいくつか発見されており、実際にこの点を突いてくる攻撃は各種のものが小規模に行われ続けている。犯罪者グループは常に新たな突破口を捜すべくリサーチを続けていることが確認されている。

　ネットでの犯罪はこのようにサーバーレベルへの攻撃へ向かい、ユーザーの自営が及ばないところへ移行しつつある。今後も多様な種類のオンライン詐欺が一般ユーザーを悩ますこととなりそうである。（田中秀憲）