三歩あるけば物も忘れる

フィッシング詐欺対策として、怪しいリンクではなく「ブックマークからアクセスする」ことは、しばしば安全な習慣として推奨されます。
実際、偽サイトへ誘導されるリスクを避けるという意味では有効な手段です。

しかし、セキュリティの視点をもう一段深めてみると、ブックマークそのものが、プライバシーやサイバー攻撃の観点で思わぬリスクを孕んでいることに気づきます。

普段何気なく保存しているブックマークは、見方を変えれば「自分がどんなWebサービスを使っているか」を示す一覧表にほかなりません。

• 利用している銀行やクレジットカード会社
• 勤務先で使っている社内システムやクラウドサービス
• 会員登録しているニッチなWebサービスやコミュニティサイト

これらの情報が一箇所に集約されている状態こそが、ブックマークの利便性であると同時に、リスクの源泉でもあります。

万が一、マルウェア（インフォスティーラー等）への感染、不正なブラウザ拡張機能、あるいはアカウントの乗っ取りなどによって
ブックマーク情報が外部に流出した場合、そこには「そのユーザーが利用しているWebサービスのリスト」がそのまま記録されています。

攻撃者にとってこれは、いわば標的ロードマップです。無差別にばら撒かれるフィッシングメールとは異なり、「この人はこの銀行を使っている」
「このクラウドサービスにログインしている」といった具体的な情報をもとに、極めて精度の高い攻撃を組み立てることができてしまいます。

代表的なリスクとして、以下のような攻撃の高度化が挙げられます。

攻撃者は流出したブックマークから、ユーザーが利用している銀行、クラウドサービス、社内システムなどを正確に把握できます。
その結果、無差別な攻撃ではなく、実際に使っているサービスを装ったピンポイントなフィッシングメールを送りつけることが可能になります。

どこかで漏洩したID・パスワードの組み合わせを、実際にそのユーザーが利用しているサービスに絞って試すことができれば、攻撃の成功率は大きく上がります。
ブックマークは、この「どのサービスを狙うべきか」を教えてしまう設計図になり得ます。

ここで見落とされがちなのが、ブックマーク自体には機密情報が直接書かれていないから安全だ、という思い込みです。

たしかにブックマークにパスワードやアカウント情報そのものが記載されているわけではありません。しかし、「どこを狙えばよいか」という
侵入の設計図を攻撃者に与えてしまうこと自体が、既に大きな脅威なのです。攻撃の第一段階である「偵察（リコネッサンス）」を、ユーザー自身が知らず知らずのうちに肩代わりしてしまっている、とも言えます。

日頃何気なく保存しているお気に入りのURLリストも、ひとたび外部に漏れれば「オーダーメイドの攻撃ターゲットリスト」に変貌してしまうリスクがあります。
ブックマークは便利な機能である一方、それ自体が「利用サービスの棚卸しリスト」であるという認識を持ち、ブラウザや拡張機能のセキュリティ、アカウント保護には日頃から注意を払っておくことが大切です。