Amazonを装うフィッシングサイトにSSLが利用されてたので検証

Hihumiです。
先ほど、メールチェックをしていたのですが、なかなか興味深いメールが届きました。
Amazonを装ったフィッシングメールです。

■Amazonを装ったフィッシングメールが届いた！

メールチェックをしていると、何やら変なメールアドレスからAmazonのフリをしたメールが届きました。

メールの内容はこんなものでした。

お客様各位、
お客様のアカウントは、Amazonの利用規約に違反する購入をするために使用されているようです。 このアクティビティは疑わしいと思われるため、情報を保護するためにアカウントを無効にします。
ユーザーの品質と利便性を向上させる, 私たちは最近、すべてのアマゾンユーザーのセキュリティシステムを更新しました. アカウントを復旧してこの新しい購入を確認するには、以下のリンクをクリックしてください：

ここにサインイン

敬具、
Amazonのサポート

ご迷惑をおかけして申し訳ありませんが、お客様の情報の機密性を維持するよう懸命に取り組んでいます。
*このメールに返信しないでください。 このアドレス宛てにお送りいただいた質問にはお答えできません。

これは、Amazonを装って、ユーザーに対してメールを送信して、偽のサイトへアクセスさせ、そこからクレジットカード情報等を盗み出すいわゆる「フィッシングメール」です。

ここまでは、割とよくある事でそんなに驚きもしなかったのですが….
とりあえず嫌がらせしてやろうと、サイトを開いて驚きです。（※絶対に真似しないで下さい）

■フィッシングサイトのくせに生意気にSSL対応

サイトを開くと、URLは「https://」から始まり、横に鍵マークのついたSSL対応サイトでした。

URLが「https」から始まって「鍵マーク」がついてたら安心！

みたいなバカな事をあちこちが宣伝してたのをふと思い出します。
それを素直に信じてるユーザーだと、騙されるんじゃないのか！？

■用意周到な入力画面

記事のネタと、フィッシングサイト運営者への嫌がらせのためにも、今回はサイトに偽情報を入力していき確認していきます。

※危険ですので、フィッシングサイトへアクセスしたり、同様の事をするのは絶対にしないようにして下さい。

フィッシングのサイトにアクセスすると、こんな画面になりました。

よくできた偽画面です。ここに情報を入力すると、痛い目に遭う訳です。

偽画面には偽情報で十分です。メールアドレスとパスワードを入力していきます。
メールアドレス
「fu●kyouhacker@fu●kyou.cn」
パスワード
「mot●erf●cker」
うん、完璧です。「サインイン」します。

次の画面に繋がりました。

カード情報入力画面！
フィッシングにおいて一番大切な画面です。

ここにもし、正しい情報を入力すると、不正使用されたり大変な目に遭います。
これも適当に、「美しい言葉」で埋めて「提出する」（？）というボタンで次画面に行ってみます。

クレジットカードまたはＩＤ（身分証明書）をアップロードしろという画面が出てきました。
が、画像アップロード画面だと！？なんて挑戦的なんだ！？

とりあえず、適当にエロ画像をアップロードし、「提出します」ボタンを押す….

次の画面は無く、そのままAmazonの正しい公式サイトの方に飛ばされました。

■進化するフィッシング

フィッシングを制作した香具師のためにも、今回は実際にアクセスして画面を確認、検証までしましたが、やはり驚きです。
「SSLに対応したフィッシング」
一昔前だと、「https://」からURLが始まって「鍵マーク」がついてたら安全だとか言われてましたが、全然そんな事は無いです。

怪しいメール、クレジットカードの番号を求めるサイト。

皆さんも気を付けましょう！

【追記】Amazonのサポートの対応が良かった
今回の件について、Amazonに通報。サポートセンターのチャットから、通報したのですが、非常にスムーズな対応でした。
警告メールの配信等を勧め、リファラがフィッシングサイトからのアクセスには警告画面を表示させるようにしてほしいと要望を送ったのですが、真摯な対応でAmazonの企業力の高さが感じられました。
実際の対応でどうなるかは解りませんが、サポートの対応の良さには頭が上がりません。