【セキュリティ魂】米屈指のテック大学MIT神話崩壊 幼稚なフィシングメールの餌食に

　この3月、マサチューセッツ工科大学（MIT）の生徒や職員に対して、フィッシング攻撃が行なわれていたと、MITのウエブ・ニュースのサイトであるwww-tech.mit.eduが報じている。

　これによると、“MIT Webmail Team”からと偽った「パスワードの確認をお願いします」という内容のフィッシング･メールが、MITのウエブメールの利用者に送信された。このフィッシング･メールは、MITのウエブメール自体や、その他の大学のウエブメール･サービスのサーバーを使われて発信されていた。その数は2万通にも上るそうだ。

　が、なんと、こともあろうに、このスパムに自分のパスワードをタイプして返信していた利用者がいることが分かった。スパマーは一度パスワードを手に入れると、今度はそのアカウントを利用して、他のMITのウエブメールの利用者にスパムを発信。更なる被害者を作っていた。

　MITのネットワーク･マネージャーのジェフリー･シラーによると、スパマーは香港などの国外からの攻撃のようで、建築学科の日本人教授、神田氏のアカウントが攻撃用アカウントと利用されていたという。（神田教授のアカウントがスパムに利用された理由については不明）。

　「フィッシングはMITではそれほど問題ではなかった」と先のシラー氏は言っていおり、www-tech.mit.eduでも、MITは銀行やクレジットカード会社ではないので、正規アカウントはそれほど利用価値がなかったと伝えている。しかし最近では、アンチスパム技術の進歩のおかげで、正規アカウントはどんなアカウントでも利用価値が高くなったと分析されている。それは、大学から送られてきた電子メールは、ボットに汚染されたパソコンのものよりも、ちゃんと受信される可能性が高いからだそうだ。シラー氏は「MITのサーバーを介すが送信者のMITのシステムでのクレデンシャルを確認していないメールは、スパマーが悪用しやすいが、きちんとMITのクレデンシャルを確認したメール、つまり、送信者がちゃんとMITのシステムのユーザーネームとパスワードを使って送信したメールは信頼性も高いが、（スパマーが）送信に使うことは難しい」と言っている。

　今後MITでは、ウエブメールのユーザーは、15分に15通までしかメールを送信できないという制限をつけるそうだ。

　それにしても驚くのは、MITと言えば全米屈指のテクノロジー大学である。その関係者でさえこんな幼稚なフィシングメールの被害者になってしまうことを考えれば、くだらないフィッシングメールがなぜ“効く”のか、分からなくもない。

執筆：米国　笠原利香

関連リンク
・www-tech.mit.edu

■こちらもオススメ！【セキュリティ魂】
・あなたの携帯電話を盗聴器にかえるウイルス
・21世紀のサイバー冷戦勃発！中国のサイバー軍事活動が活発化
・日本の企業ドメインも売買！盗まれたFTP情報 闇取引の実態
・もはや海外では当たり前！携帯電話のウイルス対策とは？
・ハッカーショーをテレビ番組が放映「盗難してくれてありがとう」
・【セキュリティ魂】バックナンバー