2024年6月6日報道 待ち構え型情報収集手口の「ドッペルゲンガー・ドメイン」に御注意、たとえばメアドで「gmeil」と打ち間違えたため個人情報が流出した事例が複数ある

2024年6月6日17時1分に産経新聞から、下記趣旨の記事がネット配信されていた。

メールアドレスを入力する際、ドメイン（＠から後ろの部分）を間違えてしまったが、エラーにはならず、なぜか送信できてしまったー。

こんな事案が教育現場で発生し、結果的に生徒の個人情報が流出した。

実は、ドメインは誤りではなく、著名なドメインに近い文字列の「ドッペルゲンガー・ドメイン」。

不正な情報収集を狙って何者かが意図的に設定したものとみられ、専門家は対応の必要性を訴える。

 

【油断した】

滋賀県教育委員会は5月31日、県立湖南農業高（草津市）の2～3年の生徒計140人について、氏名など個人情報が流出したと発表した。

一部生徒は自宅の住所や保護者の氏名、携帯電話の番号なども漏れたという。

同校教諭が自宅に情報を持ち帰って作業するため、教頭の許可を得て、校内から自身の個人アドレス宛てにメールを送信。

このとき、本来は「gmail」とするべきドメインを、「gmeil」と打ち間違えた。

メールが届かなかったため確認したところミスに気付き、誤送信先に連絡を取ろうと試みたが、反応はなかったという。

県教委によると、教諭は個人情報の送信時に必要なパスワード保護の設定もしていなかった。

学校側の聞き取りに対し、「自分に送るので油断していた」などと説明したという。

 

【「sftbank」や「iclud」も】

ドッペルゲンガーとは自分にそっくりの分身を指す言葉で、ドッペルゲンガー・ドメインはGメールやアマゾン、iクラウドなど、有名なドメインに酷似したドメインを指す。

県教委はドッペルゲンガー・ドメイン事案として、「gmeil」のほか「gmai」など、打ち間違いやすいドメインを複数登録し、校内ネットワークから送信を不可にするなどの対応を取った。

ドッペルゲンガー・ドメインを巡っては、大阪教育大が令和5年7月、職員が大学の電子メールの自動転送設定をした際に、「gmail」とすべきところを「gmeil」と誤入力したことにより、約4500件のメールが流出したと発表。

うち1800件近くに学校関係者の個人情報が含まれていた。

転送設定を行ったのは平成30年4月で、職員にエラーメールが届いた令和5年2月まで約5年にわたり、ドッペルゲンガー・ドメインへの流出が続いていた。

他にも同種被害は確認されており、法政大は一昨年、「sftbank」や「iclud」など、ドッペルゲンガー・ドメインの疑いが強いドメイン30個の送信を停止した。

 

【「待ち構え型」の情報収集】

サイバーセキュリティーに詳しい横浜国立大の吉岡克成教授は、ドッペルゲンガー・ドメインについて、「入力ミスを想定して誤送信された情報を集める『待ち構え型』の手法」と指摘。

効率が悪いとの見方もある一方、ドメインは個人でも購入が可能なため、多くの利用者がいる有名ドメインに似せたものを獲得することで「一定の成果が得られている可能性はある」とする。

未然防止策では、Ｇメールにおけるグーグルなど、サービスの提供者側が先回りしてドッペルゲンガー・ドメインを取得しておくといった取り組みもあるというが、「全ての誤入力パターンをカバーすることは難しい」。

今後に向け、「僅かに組み合わせが異なる新手のドメインが出現してくる可能性は十分にある。情報を取り扱う個人や組織は、そうした認識に立って警戒度を上げる必要がある」としている。

https://www.sankei.com/article/20240606-TX5LW66IGVBZHNW7DTSTTXSPNM/

 

 

2024/06/13 (Thu) 【情報管理不備】　ﾊﾟｿｺﾝ・ﾒｰﾙ等 Comment(0)