短縮 URL サービスが至るところで見られる。bit.ly 、ow.ly、t.co、t.me、tinyurl.com といったツールは、オンラインの世界では今ではすっかりお馴染みの存在となっている。あまりにも馴染み深いので、ほとんどのユーザーは何も考えずにクリックしてしまう。短縮 URL をクリックすると、リンクを作成したユーザーが指定した宛先アドレスにほぼ直接アクセスできる。ほぼ、だが、完全にそうではない。実際の経路は、短縮 URL サービスを経由して少し迂回する。サービスの効率が高ければ高いほど、所要時間は短縮され、終点への移行もスムーズになる。もちろん、この遅延は人間にとっては些細なことのように感じられるだろう。人間はどちらかというと動作が遅いものだから。しかし電子システムにとっては、あらゆる種類の活動を行うには十分な時間である。なぜ短縮 URL なのか？ 主な理由はスペースの問題である。長いリンクを短くすることで、画面占有率を下げ、文字数制限もクリアできる。しかし、それだけではありません。短縮 URL の作成者は、必ずしもユーザーへの配慮からではなく、独自の目的を追求している可能性がある。インターネット上のリンクがなぜあんなに長くて見づらいのか、不思議に思ったことはありませんか？それはたいてい、リンクにクリックの追跡のための様々なパラメータ、いわゆる UTM タグがエンコードされているからである。通常、これらのタグは、ユーザーがリンクをクリックした場所を特定し、広告キャンペーンの効果やブロガーページへの掲載状況などを評価するために使用されます。これはもちろんユーザーの利便性のためではなく、デジタルマーケティングの目的で行われる。ほとんどの場合、これは比較的無害なトラッキング方法であり、必ずしもリンクをクリックしたユーザーからデータを収集するわけではありません。多くの場合、マーケッターはトラフィックの発生源にのみ関心があります。しかし、この追加の「パッケージ」は見た目が悪く、URLが非常に長くなることが多いため、短縮 URL サービスがよく利用される。プライバシーの観点からさらに厄介なのは、短縮 URL サービスが単にユーザーを目的のアドレスにリダイレクトするだけにとどまらない点である。これらのサービスは、リンクをクリックしたユーザーに関する様々な統計情報を収集する傾向があり、結果として、埋め込まれた UTM タ グを通じて短縮 URL の作成者だけでなく、短縮 URL サービスの所有者にもデータが渡ってしまうのである。もちろん、インターネットの世界では誰もが何らかの統計情報を収集しているが、短縮 URL を利用することで、ユーザーに関するデータを保持する仲介者がさらに増えることになる。短縮 URL はプライバシーを侵害するだけでなく、デバイスやデータのセキュリティを脅かす可能性もある。繰り返しになるが、リンクをクリックする前に必ず内容をよく確認することだ。しかし短縮 URL には問題がある。リンクをクリックした先がどこなのか、確実には分からないのでである。サイバー犯罪者が短縮 URL を使用する場合、リンク先を確認するようアドバイスしても意味がない。リンクをクリックして初めてリンク先がどこなのかが分かるからである。
攻撃者がブラウザのゼロクリック脆弱性を悪用した場合、悪意のあるサイトにアクセスした瞬間に感染してしまう可能性があるからである。サイバー犯罪者は、必要に応じてリンク短縮ツールを使ってターゲットアドレスを変更することもできる。例えば、攻撃者が数百万件のメールアドレスのデータベースを購入し、それを使って何らかのリンクを含むフィッシングメールを送信したとします。しかし、攻撃者にとって問題なのは、作成したフィッシングサイトがすぐに発見され、ブロックされてしまったことである。別のアドレスに再ホストすることは問題ないが、その場合、すべてのフィッシングメールを再送信しなければならない。解決策は「シミング」サービスを利用することであり、これによりユーザーがアクセスするURLを素早く変更することが可能になる。そしてここでいう「シミング」の役割は、短縮 URL サービスが担うことができ、中には元々悪意を持って作成されたものもある。この手法では、フィッシングメールにシミングサービスへのリンクが追加され、被害者はそのリンクをクリックすると、フィッシング業者が現在使用しているアドレスのサイトにリダイレクトされる。多くの場合、追跡をさらに困難にするために、複数のリダイレクトが使用される。また、宛先のフィッシングサイトがブロックされた場合、サイバー犯罪者は単に新しいアドレスでサイトをホストし、シミング内のリンクを変更することで、攻撃を継続する。多くの場合、大量利用を目的とした短縮 URL は、ソーシャルネットワークの投稿やウェブページに掲載される。しかし、個人宛てにメッセンジャーやメールで送られてきた場合は、さらにリスクが高まる。攻撃者は、ユーザーに関する情報を既に持っている場合、このようなリンクを使って、個人情報があらかじめ入力されたフィッシングサイトに誘導する可能性がある。例えば、有効なユーザー名とパスワードの入力を求める銀行サイトのコピー、あるいは銀行カード番号があらかじめ入力された決済サービスの「決済ゲートウェイ」に誘導され、セキュリティコードの入力を求められるといったケースである。さらに、こうしたリンクは、特にL短縮 URL サービスが高度な機能を提供している場合、個人情報の暴露やその他の追跡行為に悪用される可能性がある。では、どう対処すればよいのでしょうか？短縮 URL は絶対にクリックしないようにアドバイスすることもできるが、ほとんどの場合、短縮 URL サービスは正当な目的で使用されており、非常に一般的になっているため、完全に避けることは現実的ではない。とはいえ、ダイレクトメッセージやメールで送られてくる短縮 URL には特に注意を払うことをお勧めする。また GetLinkInfo や UnshortenIt などの短縮 URL チェックツールにリンクをコピー＆ペーストして、クリックする前に内容を確認することもできる。下記リンク先はドメインネームシステム（DNS）の監視および管理プラットフォーム CaptainDNS の「URL短縮サービス：bit.lyやt.ly、そして同種のサービスがフィッシング攻撃の主要な手段となった理由」です。
URL Shorteners: Why bit.ly, t.ly & Their Peers Have Become Phishing's Weapon of Choice
0 件のコメント:
コメントを投稿