「@」と偽の「/」を用いた偽装URLによるフィッシングの手口が話題に

古くはFTPで、現在でもHTTPのBASIC認証等において、ユーザー名・パスワードを「https://username@example.co.jp/path」もしくは「https://username:password@example.co.jp/path」といった形式で記載するのが本来の用法で、今回の手口では「username」「username:password」の部分で偽装を行っており、また「スラッシュっぽく見える別の文字」としては、UnicodeのU+2044(FRACTION SLASH)・U+2215(DIVISIONSLASH)・U+29F8(BIG SOLIDUS)等、多くの種類が考えられます。

従来のフィッシングにおける、リンク先URLのホスト名(FQDN)に本物のドメイン名やそれと似た文字を含む、さらには国際化ドメイン名(IDN)の仕様を突いてアルファベット以外の似た文字を用いるケースと異なり、偽のドメイン名の登録やDNSの用意は必要でなく、「@」より前の部分でIDNで許可されていない記号(「スラッシュっぽく見える別の文字」も含まれます)を利用可能であるという「利点」があると考えられます。

ブラウザー・メーラー側やメールサーバー上・UTM等でのメールチェックにおいて、リンクURL中に不審なUnicode文字を含む認証情報部分がある場合に警告を出す、または認証情報部分の誤認されやすい記号等をURLエンコード状態で表示する、といった対策が取られるものと考えられる一方、DNSによる不審サイトのブロックサービスではFQDN部分のみをチェックするため回避される可能性があることに注意が必要でしょう。

当該サイトは現在も閉鎖中ですが、取り扱っていた商品は全国農業協同組合連合会(JA全農)「JAタウン」で販売しているとのことです。

XSSから不正アクセスに至った経緯は、あくまで推測ながら、管理画面内で脆弱性が発現するよう仕掛ける不正な注文等を行う、いわゆる「Stored XSS(格納型・持続型XSS)」の攻撃を受けた可能性が考えられます。

– ECサイトを構築するメジャーなソフトウェアにおいても度々そのような脆弱性が発見・修正されており、随時最新のバージョンにアップデートすること、また特に独自でサイトを構築した場合は、可能な限り管理画面側も含めXSS他の脆弱性がないか第三者による診断を受けることを推奨致します。