「Apple ID パスワードの再設定方法」というフィッシングメール

Appleから「Apple ID パスワードの再設定方法」というフィッシングメールが届いた人へ。

記事のコメントにはこうありました。

サポートに確認したところ、Apple IDのパスワードをある一定の期間変更していない場合、Appleの方からこのようなメールが送信されると、日本のサポートの方にもApple本社から伝言があったようです。
なので、安心なさって結構です。とのことでした。

ですが、気になる方が、こちらを。

Appleから「Apple ID パスワードの再設定方法」というフィッシングメール？が届く件 インターネット自主防衛マニュアル
http://lifeiscrime.info/?p=364

2013年10月22日の昼間から一度に2通ずつ下記の件名メールが届きだしました。
「Apple ID パスワードの再設定方法。」

（23日追記、その後1通のみ届くようになりました）
（24日追記、「「Apple ID パスワードの再設定方法」のメール　その後　Appleからの注意喚起メールだった？」を投稿しました）

内容はApple IDのページでパスワードを再設定依頼をした時に届く確認用メールの内容ですが、
パスワードを再設定依頼をしていないのに届くことに問題があります。

■　内容はパスワード再設定時の確認メールの内容に相違ない。
■　Apple正規システムから誰かが再設定依頼を出している。
■　結論から言えば22日に私に届いたメールは「フィッシングメール」ではないが、他の誰かがAppleの「パスワード再発行依頼」を悪用してメールを送っているのは確かであり、後述の「必要な対策」を講じるべき。
■　他の方も同じパターンで同様のメールが届いているとは限らないが（本物のフィッシングメールであるパターン）、後述の「必要な対策」を講じるべき。
■　私の場合メールアドレスは過去に別システムから（ハッキングで）流出したメアドにのみ届いている。
■　メールヘッダは偽装できるので注意が必要だが、今回届いたメールはAppleによる正規システムから送信しているもので偽装はなかった。
■　メール本文のURLも正規URLであった（エンコードでソースを確認）。
■　パスワードを再設定依頼をしていないのに届くことに問題がある。
■　メールアカウント自体がハックされている場合、この再設定依頼メールを使ってAppleIDを乗っ取れる。
■　登録した覚えのないメアドに届いても勘違いで登録されているかもしれません（AppleIDには「代替メールアドレス」機能で連絡用に複数メアドが登録可能です）。（または別の手口かもしれません）
■　システム的な根本原因は「IDをメールアドレスにする」ようなメアド依存のシステムだから。
■　IDはメアドよりも任意の文字列かシステム強制発行の方が良いように思える。
■　パスワード再発行機能に「秘密の質問」の追加などをしてメアドのみで再発行できない工夫が必要。
■　大事なのはメールアカウントをハッキングされないこと。特別なパスワードを設定するのが有効な対策

About arison

大都会岡山の南部にある玉野市生まれ。 大都会岡山のIT会社（目標は大都会No.1）でコンピュータとお客を相手に日夜格闘中。 関東出張中はグルメブログ。 基本的に遊び人のおっさん。 ライフハックとガンダム好き。ギガフロート玉野を浸透中。

25. 10月 2013 by arison
Categories: 日記 | Tags: セキュリティ | Leave a comment