このページで: [隠れる]
先月、DNSセキュリティアップグレードの電子メール通知を装ったWordPressサイトの所有者を狙った危険なフィッシング詐欺が始まりました。. ハッカーは、サイト管理者を詐欺に陥らせるための主要な戦略の1つとして、依然として積極的に使用しています。. 最終的な目標は、ログインデータをハイジャックすることです.
大規模な電子メールフィッシング詐欺の標的となったWordPressサイトの所有者: DNSセキュリティアップグレード通知になりすます
六月 2020 のリリースを見た 大規模なメールフィッシングキャンペーン WordPressサイト管理者を対象とした. 今回、ハッカーは次のことを選択しました WordPress.comになりすます これは、ブロガーが専用のWebホスティング会社を使用したり、WordPressを自分でセットアップしたりすることなく、自分のサイトを簡単にセットアップできるようにするマネージドホスティングプロバイダーサービスです。. WordPress.comは、コンテンツ管理システムの背後にいる同じ会社によって運営されているため、多くの人に好まれています.
これらの電子メールメッセージは、正当なメッセージのように見えるように電子メール通知を設計したハッキンググループによって大量に送信されています。. キャンペーンの背後にある犯罪グループは不明ですが、それがまだ運用されているという事実を考えると、彼らは潜在的なターゲットの幅広いリストに到達することができたことがわかります. 実際のHTTPヘッダーと電子メール送信者に関する情報は、知らないWebサイトの所有者をだまして、通知が正当であると思わせる可能性があります。.
また読む KingComposerWordPressプラグインに反映されたXSSバグがあります
犯罪者はロゴ画像とデザインレイアウトを乗っ取った (ページ表示, ボタンとリンク) WordPress.comサイトからのものであるかのように表示されます. ほとんどの同様の電子メール詐欺がプラグインまたはコアシステムの更新を偽造することに関係しているという事実を考えると、これはDNSセキュリティ更新のように見えるように設計されています.
このメッセージは、WordPressホスティングサービスで使用される基盤となるDNSシステムがDNNSSECに移行することを意味します。これは、従来の公開鍵暗号に基づくデジタル署名の使用に基づく強化されたDNSシステムです。. フィッシングメールの通知には、本物のように聞こえる簡単な説明が記載されています.
偽の移行を完了するために、受信者には フィッシングログインのランディングページ クレデンシャルの入力を求められる場所. これらのフィールドにデータを入力すると、ハッカーコントローラーに自動的に渡されます.
また読む WordPressサイトのセキュリティをテストする方法
このWordPressフィッシングメールキャンペーンは、ハッカーがWordPres.comマネージドホスティングサービスでホストされているブログを簡単に見つけたり、所有者の連絡先情報を見つけたりできるため、非常に成功して危険な場合があります。. それらに対して、電子メールは必要なパラメータでカスタマイズすることができ、最終的な通知は実際の通知のようになります.
WordPress.comおよび一般的にすべてのWordPressユーザーは、このようなフィッシング詐欺の被害から身を守るために、基本的なセキュリティガイドラインに従うことができます。:
- 電子メールメッセージで送信されたリンクを無視する — 公式サービスからのものであると主張する電子メールメッセージに挿入されたリンクは、公式の正当なドメインにつながるかどうかを再確認する必要があります.
- 二要素認証を使用する — これにより、別の形式のログインが導入されるため、ほとんどのフィッシング詐欺を軽減できます。.
- パスワードマネージャーをお勧めします — ほとんどのセキュリティガイドラインでは、強力なパスワードを生成して保存し、安全な方法で保持できるため、パスワードマネージャーの使用を提案しています。. それらのほとんどにはURLガードも含まれています.
- アンチウイルスWebフィルタリング — 多くのウイルス対策製品には、フィッシングサイトの絶えず更新されるブラックリストを含むライブWebフィルタリングが含まれています.