フィッシング対策 事業者篇

　皆さん、こんにちは。丸山満彦です。本日は、新幹線から富士山がきれいだった・・・。こういう日は得した気分になります。高木さん、フィッシング詐欺の仕組みの解説ありがとうございます。なるほど、詐欺の手法というのは、オレオレ詐欺にしても、フィッシングにしてもどんどん凝ってきていますね。あまり望ましいことではないですね。
　さて、今日は、「消費者ばかりに対策を押し付けている場合ではない。事業者が手を取り合って、悪徳詐欺師集団に仕事をさせない環境をつくらなくてはいけない。」ということで、フィッシング対策　事業者篇を考えることにしました。

　まぁ、今のところ中間報告くらいの精度でしょうか？間違っている。それではだめだ・・・というコメントを随時受けてつけていますので、コメントをお願いします。

[①電子メールの基本ルール]
1. 個人情報などを聞き出す電子メールなどは出さないようにする。
2. 顧客に電子メールを出すときは必ず電子署名をつける。
3. htmlメールは使わず、テキストメールで送る

[②入力画面の基本ルール]
1. 個人情報を入力させるウェブ画面、重要なお知らせを載せるウェブ画面ではSSLを使う。
2. https:を利用していることがわかるように、必ずURLが見えるようにする。（フレームを利用してURLがどこかわからないようにしない。）

[③電子署名を使う場合のルール]
1. 信頼のおける認証局が発行している電子署名を利用する。（例えば、インターネットエクスプローラには、マイクロソフトが信頼できる認証局として信じている認証局があらかじめ組み込まれているので、それを信じるというのも一つの手であり、その認証局を使う）
2. お試し版のような安易な電子署名を利用しない。
3. 電子署名には、会社名及び住所まできちんと登録する。

[④その他]
1. サーバの脆弱性はできる限り少なくする。致命的な脆弱性があるままで運用をつづけない。
2. クロスサイトスクリプティングなどの脆弱性の検査をしてからウェブを公開する。
3. 会社名、問い合わせ窓口、会社のトップページのアドレスをメールのヘッダ、ウェブ画面に入れる。
（これをだますということもあるのですが、少なくとも自己紹介はちゃんとするという姿勢は重要かなぁと思います。身に覚えのある会社であれば、利用者が検索エンジンなどの検索結果とリンクしているトップページが一致しているかどうかを確認することができます。）

とりあえず、このくらいを考えました。