偽のサイトに誘導される「DNSキャッシュポイズニング」の恐怖

情報処理推進機構（IPA）が、2008年におけるセキュリティ十大脅威を発表した。これは去年終わったという意味ではなく、今後もますます危険視される脅威である。
トップに上がったのは、「DNSキャッシュポイズニング」という脅威である。あまり聞きおよびない名称かもしれないが、基本はネットにおける「偽消防署詐欺」と「オレオレ詐欺」である。



「偽消防署詐欺」とは、消防署の"ほう"から来ましたと言って、偽消防署員になりすまして、消火防火用品を法外な値段で売りつける詐欺である。アレンジパターンとして、「偽水道局詐欺」や「偽宅配便詐欺」などがある。

そして、近年厳重に警戒されている「オレオレ詐欺」は、偽の息子になりすまして現金を振り込ませる詐欺だ。

両者に共通しているのは、本物そっくりの身なりや声色を使って信用させておいて詐欺を働くことである。

DNSキャッシュポイズニングとは、インターネットの住所管理を行っているDNSサーバを改ざんし、たとえば有名ショッピングサイトそっくりの偽サイトに誘導して個人情報やクレジットカード情報を盗んでしまう詐欺である。
騙されているのは住所管理を行う"ご本尊サーバで"あるからパソコン（ブラウザ）は信用して、偽サイトを表示してしまう。

そこで個人情報を入力させるようなサイトは、そのサーバが本物であり、かつ信頼できることを証明する「証明書」を発行する。ブラウザはその証明書が信頼できる機関から発行されたものであることを確認したときには、通信を許可する。この場合ブラウザのアドレスバーの色が変わるのが確認できる。

しかし、偽サイト運営者は、そのサイトが本物で信頼できるものであると装うために、詐欺専用の認証サーバから証明書を発行する。この場合は、ブラウザ側で安全性を確認できないので、警告が出される。

ここが最も危険なのだが、この時に警告を無視してしまうと、以後ブラウザはその偽証明書を信頼できるものとしてノーチェックで通してしまうのだ。

偽消防署詐欺で、一度偽の身分証明書を見せられて本物だと信じてしまったら、その偽物が何度も訪問してきても顔パスで通してしまうのと同じである。

DNSキャッシュポイズニングへの対処は、プロバイダなどの運営業者が行うものなので、未対応であった場合には個人での対応は難しい。
一般ユーザーとして気をつけるべき点として、ブラウザが不審な証明書の警告を出したときには、必ず疑ってみることである。個人情報入力画面が暗号化されていない（ブラウザのアドレスバーの色が変わらない）サイトは論外である。

極めて大雑把に説明してきたが、DNSキャッシュポイズニングの仕組み、ひいてはDNSそのものの仕組みは大変複雑である。IPAからこの問題についての資料が公開されているので、目を通しておくとよいだろう。

（編集部　真田裕一）