スクウェアエニックスを騙るフィッシングメールがかなり巧妙な件

以前、三菱東京UFJ銀行を騙る不審なメールが届いたことを記事にしたのですが（※１）、同じ時期からスクウェアエニックスを騙るフィッシングメールが届くようになっていました。



※１
三菱東京UFJ銀行を語る不審なメールが届きました
http://upa-pc.blogspot.jp/2014/01/ufj.html

三菱東京UFJ銀行を語る不審なメールが届きました(2)
http://upa-pc.blogspot.jp/2014/01/ufj2.html


スクウェアエニックスを騙るフィッシングメールは三菱東京UFJ銀行を騙るフィッシングメールよりも手が込んでいて、かなり危険だと思いました。
メールに不自然な点があるものの、その不自然な点を見過ごしてしまうとフィッシングに引っかかる可能性があります。
（攻撃者にヒントを与えないために、ここでは実際に届いたメールの文面や違和感のあるポイントは紹介しません。）


まず第１に、送信元アドレスがスクウェアエニックスの正規のメールアドレスになっていることです。
近年、メールアドレスの送信元を偽装されないための技術の導入が進んでいますが、残念ながら完全に偽装を防ぐことはできていないようです。（※２）

※２
迷惑メール対策推進協議会
なりすましメール撲滅プログラム
～送信ドメイン認証技術普及工程表 （改訂版） ～
p.3 第２章 １ 現在の普及の状況 より
http://www.dekyo.or.jp/soudan/image/anti_spam/archive/2012/201207_NBP.pdf


古くからメールの送信で使われているSMTPでは、送信元の正当性を保証する仕組みにはなっていないので、簡単に送信元偽装が行われてしまいます。

参考リンク：セキュリティ・簡単実験！　「送信者詐称」をやってみよう [ウィルス対策・セキュリティソフト] All About
http://allabout.co.jp/gm/gc/52621/


第２に、フィッシングメール中に記載されているフィッシングサイトへのリンクが正規のサイトのアドレスに非常に似ている点です。
（メール本文はHTMLメールとなっており、表示上は正規のサイトに飛ぶように見えるが、実際に飛ばされるのはフィッシングのサイトとなる。）

正規のスクウェア・エニックス アカウント管理システムのログインページのアドレス
https://secure.square-enix.com/account/app/svc/Login?cont=account

フィッシングサイトのリンクアドレス（一部は伏字にしてあります）
http://secure.square-enix.com.○○○.com/account/app/svc/Login.htm?cont=account


この場合、前と後はそっくり同じですが、真ん中のドメインの最後の部分が異なっており、注意深く見ていないと見落としてしまう可能性があります。
また、ディスプレイのサイズの小さいスマートフォンのようなデバイスでは、上記のような長いアドレスではアドレスの一部しか表示されないこともあるため、正規のアドレスとフィッシングサイトのアドレスを区別するのは難しい可能性があります。


このようなフィッシングメールが届くことを考えると、メール本文のリンクをクリックすることは避けるのが賢明ですね。
正規のＷｅｂページを事前にブラウザのお気に入りに登録しておき、何らかの理由を付けてサイトに誘導するようなメールを受診した場合には、そこから正規のＷｅｂサイトに行き、フィッシングなどの情報が無いかどうか確認するとよいと思います。


関連リンク：

【重要】フィッシング詐欺サイトへ誘導するメールやメッセージにご注意ください | SQUARE ENIX
http://www.jp.square-enix.com/info/1308_attention.html