「正規の証明書を持っているサイトも信用するな」，フィッシング研究者が警告(ITPro)

ぁっ！星澤さんだ！フィッシング研究員って・・・何よ！

・・・最近のサーバー証明書安いし、早いし、簡単ですからねぇ・・・

　これまで正規のサーバー証明書があれば，フィッシング・サイトである可能性は低いと考えられてきた。
　というのも，正規のサーバー証明書を取得するには，企業の身元を証明する必要があったからだ。
　身元を明らかにしたくない犯罪者にとって，サーバー証明書を取得するのはリスクが高い。
　ところが星澤氏によれば「電子メールのやり取りだけで，サーバー証明書を取得できるサービスが最近登場しており，
　これを使えば身元をほとんど明らかにする必要がない」のだという

これは、面白い！再現性をなくしちゃうってやつですね。

　このほか，「2度目にアクセスすると正規のサイトにリダイレクトするフィッシング・サイトも登場している」（星澤氏）という。アクセスしてきたIPアドレスを記録しておき，同じIPアドレスで再度アクセスした場合は本物のサイトにリダイレクトする仕組み。一度アクセスした後に，“さっきのサイトはちょっと変だったかも”と思って再度アクセスしても，正規のサイトなのでフィッシングが発覚しにくい。