ノート 26 事故記録アーカイブ 約2分
ここに出てくる話は、ぜんぶ作ったお話です。だれかをうたがうためではなく、たしかめるためのページです。
「あと数分で凍結」「至急確認を」と時間的猶予を極限まで奪い、パニック状態で偽の認証情報を入力させる手口。いかなる緊急メッセージであっても一旦停止する防護策です。
懸賞に当選するためには、事前に応募していなければなりません。心当たりのない「当選通知」や「至急の確認」が届いた時点で、通信を一時停止します。
アカウント侵害の大部分は、攻撃者がパスワードを直接盗み出すのではなく、利用者の心理を誘導して偽サイトへ入力させるフィッシングによって生じます。誘導に用いられる3大感情トリガーが存在します。
感情の方向は異なっても、狙いは「冷静に確認する時間を奪うこと」の1点です。届いたメッセージ内のリンクは踏まず、公式アプリやブックマークから自力でアクセスします。
いかなる理由を告げられても、本物の運営はパスワードを聞かないという原則を想起してください。
焦燥感や利得で入力させられる罠を警戒する。本物の運営はパスワードを聞かない。
このインシデントの背景となる事象 あと5分、と言われてひっかかった話 第10話
時間圧・恐怖・利得による入力の誘発を扱います。「本物の運営はパスワードを聞かない」という単一の判別規則を置きます。
認証情報の漏洩が、技術的な突破より本人の入力によって起きることの理解が目標です。したがって対処も、技術ではなく行動になります。
3つの誘い方(こわがらせる・うれしがらせる・急がせる)は感情の向きが違うだけで、狙いは共通(考える時間をなくす)です。
止め方を1つに統一しました。「リンクから開かない。いつものアプリを自分で開く」。3類型すべてが同じ対処で止まることを明示しています。
「応募したおぼえがないのに『当たりました』と来たら、そこで止まる」という、前提の欠落に着目した判定も置きました。
「いつものアプリを自分で開く」としたのは、正しいリンクを見分ける手を渡さないためです。見分け方を覚えると、見分けようとしてしまいます。
パスワードの作り方は、表の巻(しらべノート26)の担当です。ここは、作ったものをどこに入れてしまうかに絞っています。
相手の手口も細かく書きません。この巻の約束どおり、やり方ではなく気づき方だけを残しました。