2要素認証のコードも窃取するフィッシング - SMSをきっかけに

オンラインバンキング利用者を狙うフィッシング攻撃で、本人確認を装い、さらに2要素認証のアクセスコードについても要求する手口が発生している。

米McAfeeが、米国においてオンラインバンキング利用者を対象としたフィッシング攻撃を確認したもの。

「銀行口座を閉鎖する」といった内容のSMSを携帯電話の利用者へ送信し、不安を煽るいわゆる「スミッシング」攻撃で、受信者に不信感を抱かせないよう、ショートメッセージには金融機関の名称が埋め込まれたURLを利用してフィッシングサイトへ誘導していた。

偽サイトでは、米国におけるマネーロンダリング対策の本人確認手続きである「Customer Identification Program（CIP）」を模倣しており、個人情報を要求する。

（Security NEXT - 2017/08/18 ）ツイート