2024年6月30日をもって，本サイトの更新を停止しました．今後教育用計算機システムに関する情報は utelecon 情報システムの総合案内サイト @ 東京大学で提供します．
ECCSを騙るフィッシング詐欺について
FAQ: よくある質問
更新: 2017年11月09日
作成: 2016年06月13日
フィッシング詐欺とは
送信者を詐称した電子メールを送りつけたり、偽の電子メールから偽のホームページに接続させたりするなどの方法で、アカウント情報（ユーザID、パスワードなど）といった重要な個人情報を盗み出す行為のことを言います。
ECCSシステムメールやECCS管理者を騙り、偽のURLにアクセスさせてECCSのアカウント、パスワードを入力させたり、悪意のあるスクリプトを無害そうなファイルに偽装し、添付ファイルとして添付してそれを実行させることにより、IDやパスワードその他端末情報を盗む目的のメールが学内ユーザーに多く送られています。
様々な内容で、精巧に作成されている例もあり、簡単に真贋を判別できないケースもありますが、最低限以下の内容についてご注意いただければ、多くの場合はフィッシング詐欺にかかることを防ぐことができます。
普段できる対策
- フィッシングの手口の１つとして、HTMLメールで送ることが挙げられます。HTMLメールにすると、実際のURLを違うURLで表示させることができるので、メールを読む際は HTML メールをそのまま読まず、テキストとして読むようにしてください。ほとんどのメーラーはHTMLメールを解釈せずテキストで表示させるように設定することが可能です。
- メールの添付ファイル機能は使わず、ファイルの受け渡しには共有ファイルサービス等を使うことにより、より安全にファイルの受け渡しができます。
- ECCSユーザーの場合はWebDAV 環境が利用可能です。先方にファイルを渡すだけでなく、ファイルを受け取る用途にも使えます。
- ECCSアカウントを持っていない場合は、他のファイル共有システムを使う等して、添付ファイル以外の、認証を経る方法でファイルの受け渡しをおこなうことで悪意のあるファイルに触れる可能性を減らすことができます。
- MailSuiteでは多要素認証によるログインを設定することが可能です。通常のパスワードに追加してワンタイムパスワード認証を経なければログインできなくなるため、仮に第３者にパスワードが盗られたとしても、それでログインされてしまう危険性を下げることができます。積極的に利用してください。
- MailSuiteでは国別認証制限が設定できるので、アクセスするはずのない国からのアクセスを制限することによって、多要素認証と同じく不正なログインをされる可能性を下げることが可能です(初期設定で日本以外が制限されています)。詳細は以下の広報を参照ください。
ひょっとして怪しい？と思った場合の対応
- どのようなケースであっても、各サービスログインページからの通常のログイン行為以外で、メールやWebサイトにて確認のためにパスワードの記載または入力をお願いすることはありません。そのような内容のメールは確実にフィッシングメールなので、URLクリックしたり、送信元に返送等しないようお願いします。
- ECCSからファイルをユーザーに送る必要がある場合、添付ファイルは使わずWebDAVサービス等を使うようにしています。ご協力の程お願いいたします。
やってしまったかも？と思った場合の対応
もし、アクセスや返答をしてしまった後に、これは怪しかったかもと思われた場合、以下の対応をお願いします。(ECCSメールアカウントか、またはメールホスティングアカウントかで、行っていただく対応が一部異なります。)
- 対応したメールやサイトの真贋に関係なく即時パスワードを変更してください。仮に本物の連絡だったとしても、パスワードを変更されたことによってECCSシステム側に問題は発生しません。時を置いて事態が悪化する前に対応をお願いします。
- ECCS教職員メールまたはECCSクラウドメールの場合、フィッシングにかかったかもしれないこと、パスワード変更等を行ったことをECCS問い合わせ窓口までご連絡お願いします。状況に応じて設定等確認します。
- メールホスティングのユーザーの場合は、まずドメイン管理者に上記を早急に連絡してください。状況により必要な措置が取られます。
- 連絡と同時に、部局のセキュリティ担当（部局CERT等）に連絡してください。メールホスティングの場合はドメイン管理者から連絡してください。
- 状況や内容に応じて、部局のセキュリティ担当を通じてUTokyo-CERTやECCSから何らかの対応を求める場合があります。その際は指示に従ってください。
ECCS以外のシステムでフィッシング詐欺にかかった（と思われる）場合
- ECCSと直接の関係はないが、他のシステムでフィッシング詐欺にかかった（と思われる）場合、そのアカウント名やパスワードがECCSでも使っているものである場合は、ECCSの各パスワードも変更お願いします。
事例等
ECCSを標的とした大規模なフィッシングの事例は広報していますので、広報ページ右上にある検索欄に、「フィッシング」と入力して検索すると確認いただけます。
また、学内への標的型攻撃メールの事例は、UTokyo-CERTでも情報公開しています。標的型攻撃（メール）の学内共有情報の一覧（注：学内のみ閲覧可）
その他、各CERTやセキュリティ関係サイトで、標的型メールの事例等がDB化されていますので、これは、と思ったメールを受け取った場合、該当しないかどうか確認してください。
