【要注意】「Browser in the Browser」攻撃とは?進化したフィッシング詐欺の手口と見分け方・対策を徹底解説

近年、「ブラウザ・イン・ブラウザ(Browser in the Browser)」と呼ばれる新型サイバー攻撃が注目されています。これは、サイバー犯罪者がユーザーのPCや個人情報を狙うために用いる最新のフィッシング手法です。現代のウェブ制作技術は非常に高度化しており、ページ上にはほぼ何でも表示できるようになりました。任意の色や形状の入力欄はもちろん、インターフェースの動きを忠実に再現するアニメーションまで作れます。この技術を悪用すれば、フィッシング詐欺師は自分のサイト内に、あたかも本物であるかのような別サービスのログイン画面を作り出せてしまうのです。

「Browser in the Browser」攻撃の仕組み

この攻撃は次のように行われます。まず攻撃者は、正規のウェブサイトをクローン(複製)したサイトを登録します。これはフィッシング詐欺でよく使われる古典的な手口です。あるいは、ショッピングの割引情報、転職のお知らせ、話題の速報ニュースなど、ユーザーが思わずクリックしたくなる魅力的なURLやコンテンツを使って被害者を誘導することもあります。

訪問者が商品を購入したりコメントを残したりするにはログインが必要だとし、犯罪者は「正規サービス経由でログインできます」と謳ったボタンを設置します。被害者がそのボタンをクリックすると、Microsoft、Google、Appleなどでおなじみのログインウィンドウが表示されます。アドレスバー、ロゴ、入力欄まで完璧に再現されており、さらに「ログイン」ボタンや「パスワードをお忘れですか?」リンクにマウスカーソルを合わせると、正しいURLがポップアップ表示されることさえあります。一見すると完全に本物にしか見えないのが、この攻撃の恐ろしさです。

ログインウィンドウが本物か偽物かを見分ける方法

偽のログインボックスには一見「偽物」とわかる痕跡がありませんが、実は見抜く方法があります。ポイントは、本物のログインウィンドウは独立したブラウザウィンドウとして動作するという点です。本物ならドラッグして移動できたり、最大化・最小化ができます。一方、偽のポップアップは表示されているページに固定されているのです。以下の方法で、目の前のログインフォームが本物かどうか確認してみましょう。

• ブラウザウィンドウを最小化してみる:フォームが表示されたブラウザウィンドウを最小化したとき、本来別ウィンドウであるはずのログインフォームも一緒に消えたら、それは偽物です。本物のウィンドウは画面上に残り続けます。
• 親ウィンドウの境界線を越えてドラッグしてみる:本物のウィンドウは親ウィンドウの外へスムーズに移動できますが、偽物は境界線に引っかかってそれ以上動きません。
• 挙動がおかしくないか観察する:親ウィンドウと一緒に最小化される、アドレスバーの下に隠れる、背後に消えるなど、不自然な動きをする場合は偽物です。絶対に認証情報を入力しないでください。
• パスワード管理ツールを活用する:すべてのアカウントでパスワードマネージャーを使いましょう。パスワードマネージャーはページの実際のアドレスを検証するため、どれほど信頼できそうに見えても、未知のサイトの入力欄には認証情報を自動入力しません。
• フィッシング対策機能付きのリアルタイム antivirus を導入する:リアルタイム保護機能を持つセキュリティソフトも、URLを自動的にチェックし、危険なページがあれば警告してくれます。
• 二要素認証(2FA)を必ず有効にする:利用できるすべての場所、特にすべてのSNSアカウントで二要素認証をオンにしましょう。万が一パスワードが漏れても、不正ログインを防げる可能性が高まります。
• VPNで通信を暗号化する:VPNの利用は、通信を暗号化し、脅威アクターから一部のオンライン活動を隠す最も簡単な方法です。VPNを使用すると通信は暗号化トンネルを通って送信され、IPアドレスも多くのVPNユーザーで共有されるものに置き換えられます。これにより、位置情報、閲覧履歴、重要な情報をより強固に守れます。

まとめ:「Browser in the Browser」攻撃から身を守るには

世界中でサイバー攻撃が増加している今、リスクゼロでインターネットを閲覧するのは難しくなっています。こうした悪質な活動がなくなることは当面期待できないため、Systweak Antivirusのようなリアルタイム antivirus を導入し、同時にSystweak VPNも活用するのが最善の対策です。これにより、マルウェアからコンピューターを守るとともに、オンライン上の活動をサイバー犯罪者から隠すことができます。

Facebook、Instagram、YouTubeでも最新のセキュリティ情報を発信しています。ご質問やご提案があれば、下のコメント欄でお気軽にお知らせください。テクノロジーに関する便利なヒントやテクニック、よくある問題の解決策を定期的に投稿しています。