Dais Ishidate／石立 大介 retweetledi
Microsoftが二段階認証やアカウント通知に使っている公式メールアドレスから、詐欺メールが送信されていることが確認されました。
仕組みはこうです。Microsoft の通知システムには、メールの件名や差出人表示をカスタマイズできる機能があります。詐欺師はその機能を使い、本物のMicrosoftサーバーから、本物のMicrosoftアドレスで、詐欺的な内容を送り込んでいます。
これが厄介なのは、フィッシング対策として広く教えられてきた「送信元アドレスを確認せよ」という方法が、この手口に対して機能しない点です。アドレスは本物だからです。
セキュリティ研究機関のSpamhausはこの問題を数カ月前に特定し、Microsoftに通知していました。「自動通知システムがこのレベルのカスタマイズを許可すべきではない」と明示的に批判しています。Microsoftは報道機関の問い合わせを受けたことは認めましたが、修正するかどうか、いつ対応するかについては現時点でコメントしていません。
今すぐできる対策は1つです。Microsoftから届いたメールに記載されているリンクは、どれだけ送信元が本物に見えても直接クリックせず、ブラウザのアドレスバーに microsoft.com と手入力してアクセスしてください。
日本語
