【セキュリティ】フィッシングメールについて。

最近は薬理教室っていうYoutubeにハマっているマサフィー
そこで、フィッシングメールに関する話題になり、ドメイン偽装について少し触れられていたのでマサフィーも少し首を突っ込む。

動画でドメインも偽装できちゃうよって話がちゃんと出ていますね。
「なぜドメインが偽装されちゃうの！？」と思うかもしれませんが、メールに使われる仕組みのようなものに、SMTPというものがあるのですが、それはそもそも送信者が本当にそのドメインか（＝本人が送信したものか）というのは気にしません。

驚きですよね。
マサフィーも最初に調べた時は驚きでした。

実際の郵便物も送信者偽装ができるように、ネット上のメールも偽装ができてしまう感じですね。
参考：郵送物に自分の名前や住所は必要？
https://otayoripost.net/yubintokitte/kokunai/jusyoshimei.html

それじゃ、mail@gmail.comとか公式っぽいメールアドレス使ってスパムメールやフィッシングメール送り放題じゃん！と思うかもしれませんが、まさにその通りです。
正確にはその通りの時代もありました。

これじゃあまずいよねってことで、SPF（Sender Policy Framework）という仕組みがおおよそ2010年の手前に流行り出したみたいです。
参考；Sender Policy Framework (Wikipedia)
https://ja.wikipedia.org/wiki/Sender_Policy_Framework

じゃあその仕組み、自分のGmailとかに設定したい！と思うかもしれませんが、これはドメイン側で設定を行ってあげる必要があります。
ちなみにこれ関係のトラブルが最近あったりします。

SPFの設定をミスってしまうと、メールを送っても送れない現象が起きたりします。
本人が送ってるかどうかが確認できないから、起きる現象ですね。

そういえば、フィッシングメールといえばiPhoneなどに届くSMS（Messageアプリ）にもフィッシングメールって多いよねって話題になると思います。
これも、好きな電話番号になりすまして好きな人にメッセージを送ることができたりします。
マサフィーはこの仕組みを中学校の頃に発見して、友達にいたずらメールを送ってたり。。。w（ｺﾗｯ

最近の被害で言うと、Docomoが1億円の被害を出していたことで少し話題になりましたね。
参考：NTTドコモ、被害額約1億円のSMSフィッシング詐欺発表
https://news.mynavi.jp/article/20211002-1989322/

おそらく、このような手口でフィッシングサイトに誘導したものと思います。
みんなは引っかからないように注意しような！！

今回の記事はツイッターで少し紹介したものを少しだけ深掘りした感じです。
上記の紹介はあくまでも参考程度によろしくお願いします。
間違ってたりしたら教えてくれると嬉しいなぁ。

参考
https://twitter.com/masafyorg/status/1436359140104761348