MWS2022 3A1-II: MWS企画➁

フィッシング対策研究101

フィッシング対策協議会 学術研究WG
長崎県立大学 情報システム学部 情報セキュリティ学科
加藤雅彦

Agenda• イントロダクション• フィッシングの現状• スミッシングの増加• フィッシングというビジネス• フィッシング対策• フィッシング対策研究• 研究用リソース• まとめ2

イントロダクション

3

フィッシング対策協議会について概要⚫ 設立 2005年4月⚫ 名称 フィッシング対策協議会 / Council of Anti-Phishing Japan⚫ 目的 フィッシング 詐欺に関する事例情報、技術情報の収集及び提供を中心に行うことで、日本国内におけるフィッシング詐欺被害の抑制を目的として活動⚫ 会員+オブザーバー 118 (2022 年 11 月時点)
⚫ 正会員：91，リサーチパートナー：5，関連団体：15⚫ オブザーバー：7⚫ 金融機関、信販会社、オンラインサービス、セキュリティベン
ダーなど
4ーフィッシング対策協議会について
活動内容

5フィッシングの現状

6

年別 フィッシング詐欺 報告件数（万件）

52.6 前年比2倍増ばらまきメール増加

22.4

7

0.9

1.9

2017

2018

2021年 526,504
2020年 224,676
2019年 55,787
2018年 19,960
2017年 9,812

5.5
2019

2020

2021

年別 フィッシング詐欺 標的ブランド件数
（件）

904
578

多様性

686

396
248

8

2017

2018

2019

2020

標的ブランドの2021

2022/9の状況（１） フィッシング対策協議会より引用
https://www.antiphishing.jp/report/monthly/

なりすましメール増加

92022/9の状況（２） フィッシング対策協議会より引用
https://www.antiphishing.jp/report/monthly/

ランダムサブドメイン増加

102022/9の状況（３） フィッシング対策協議会より引用
https://www.antiphishing.jp/report/monthly/11

標的の多様化 – 巧妙な手段による収益化◼ クレジットカード情報の詐取を目的としたケースが多い◼ 詐取したIDで振り込み先変更、保険契約者貸付制度悪用で金銭不正授受などの事例も（生保）業種
邦銀系

標的ブランドメガバンク、ネットバンク、地銀・都市銀

クレジットカード系
FinTech系
モバイル系

銀行系、国際ブランド、地方ブランド、ペイメントサービス
仮想資産サービス・プロバイダー（VASP:VirtualAssetServiceProvider）
大手通信キャリア、メッセンジャー

ネットショッピング系
運送系

家電量販店、ネットショッププラットフォーマー、フリーマーケット
国内運送

生命保険系
その他 アカウント系

生命保険
コンビニ、ISP、メールサービス、公的サービス、インフラ、クラウドサービス

12詐欺と正規の見分けは困難（１）◼メール / SMS
送信者・送信元メールアドレスは簡単に偽装できる
SMSは情報量が少ないため正規かどうかの判断が困難◼webページ

この文字はUTF-8でCE BF（”o” は6F）“m(エム)”ではなく”rn（アールエヌ）”

URLを目で見て判断できない（yahoο.jp / rnicrosoft .coｍ）
サブドメインに正規ドメインを入れる手口

13

詐欺と正規の見分けは困難（２）14

フィッシング対策協議会より引用

詐欺と正規の見分けは困難（３）15詐欺と正規の見分けは困難（４）16技術だけでは解決が困難なことも◼ブランドホルダー管理外のところで発生する被害見えないものや理解できないものを保護することはできない
外部で発生する被害を常時監視することはできない◼セクターを越えた被害状況の把握
Aセクターを狙った攻撃が、明日はBセクターで発生するかも？
他社の状況について把握することは困難

17

スミッシングの増加

18スミッシングとはSMSを使ったフィッシング詐欺
Smishing＝SMS + phishing

出典：フィッシング対策協議会

19

SMSの特徴
SMSは電話番号と紐づいており確実に届き、開封率が高いと言われる
電子メール

SMS

端末への配信方式

プル方式

プッシュ方式（強制受信）

発信者ID

メールアドレス

自由に設定できる（余地が大きい）

受信者

メールアドレス

電話番号

迷惑メールフィルタ

受信者の許諾を得ることで送信元や内容で判定OK

通信の秘密の取り扱いについて公式には未整理

送信料金

無料

有料

メッセージ長・形式

長さは自由
形式はテキスト or HTML

1通あたり半角英数字160文字（連結すれば半角英数字1530文字）
形式はプレーンテキストのみ

20出典） マクニカ社の発表資料を基に作成
https://www.macnica.net/news/mnc_20200909.html/

SMSの仕組み

21

レポート「スミッシングの実態と対策」，マクニカ，
https://www.macnica.co.jp/business/security/mnc/phishing_report_202207.pdf

SMS送信ルートは様々

P2P：加入者端末間でやり取りされるSMS
A2P:アプリケーションから送るSMS
SMSアグリゲータ：A2P向けSMS配信サービス
提供事業者

22

レポート「スミッシングの実態と対策」，マクニカ，
https://www.macnica.co.jp/business/security/mnc/phishing_report_202207.pdf

スミッシング被害の流れ

23

レポート「スミッシングの実態と対策」，マクニカ，
https://www.macnica.co.jp/business/security/mnc/phishing_report_202207.pdf

スミッシング犯罪のエコシステム

24レポート「スミッシングの実態と対策」，マクニカ，
https://www.macnica.co.jp/business/security/mnc/phishing_report_202207.pdf

スミッシングによる被害件数「宅配便業者をかたる偽SMS」相談件数の推移(3か月ごと)
600

25.0%

500
20.0%

400
15.0%

300

10.0%
200

5.0%
100

0

0.0%
2017/10～12

2018/1～3

2018/4～6

2018/7～9

2018/10～12

2019/1～3

2019/4～6

スミッシング25

2019/7～9

2019/10～12

2020/1～3

2020/4～6

相談件数に占める割合出典) https://www.ipa.go.jp/security/txt/2021/q1outline.html、https://www.ipa.go.jp/security/txt/2019/q4outline.html、
https://www.ipa.go.jp/security/txt/2018/q4outline.html

2020/7～92020/10～122021/1～3

ネットバンク不正送金の発生数

出典： https://www.npa.go.jp/publications/statistics/cybersecurity/data/R02_cyber_jousei.pdf
26フィッシングという「ビジネス」

27

フィッシング「ビジネス」の分析⚫ 協議会・学術研究WGでは「フィッシング詐欺のビジネスプロセス分類」を分析し、結果を公開

28

出典： https://www.antiphishing.jp/news/info/collabo_20210316.html

フィッシング詐欺の全体的なプロセス
犯罪者は効率的に利益を得るために様々な手法を組み合わせる

計画

調達

構築

誘導

詐取

フィッシング詐欺ビジネスプロセス

29

収益化

研究目的：全体像把握＆対策の検討
犯罪者は効率的に利益を得るために様々な手法を組み合わせる
インプットをプロセスアクティビティにて処理し, アウトプットに変換する活動, ISO 15288:2015
コンセプト

開発

インプット製造

運用

保守

破棄
アウトプット

図: 一般的なシステムライフサイクルフェーズ

フィッシング詐欺をビジネスとして捉える. 6つの活動を定義計画
インプット調達

構築

誘導

図: フィッシング詐欺ビジネスプロセス

詐取収益化
アウトプットフィッシング詐欺ビジネスプロセスの提案. 共通ルールで分析
30

研究方法：ケーススタディ
フィッシング詐欺ビジネスプロセスを2つの実例に対し照合⚫ 事例1: 16Shop フィッシングキット
同一の「Phishing as a Service (PHaaS)」提供者による変遷に注目⚫ 事例2: LINEを騙るフィッシング詐欺
同一の「標的」を狙う詐欺者の変遷に注目
16Shop事例分析

LINE事例分析

観測期間2018年7月 – 2018年8月

2016年10月 – 2020年5月

調査対象数

115 URLs （無作為に抽出）

1,025 URLs

TLD

22 件

14件

AS番号

39 件

51件

31

※件数はすべて重複を除く、ユニーク件数

フィッシングビジネスプロセスの理解プロセスの体系的な理解により, 各段階の主要因子を特定
フィッシング詐欺
ビジネスプロセス

16Shop事例分析により判明した因子

LINE事例分析により判明した因子

計画

動機, 機会, 標的, 詐欺の開始時期, 詐取 動機, 機会, 標的, 誘導試行回数の期待値,詐取を狙うeKYCを狙うeKYC

調達

調達先の傾向, 調達サービスを支えるコ 調達先の傾向
ミュニティ

構築
誘導

技術習熟度, 帰属情報

構築期間, 設置のタイミング

疑念払拭の手法, 作業品質

疑念払拭の手法, 作業品質詐取収益化

被害認知に至るまでの引き延ばし工作

被害認知に至るまでの引き延ばし工作

換金対象, 二次被害

換金対象

主要因子の観測により進行段階の特定, 脅威予測/対策を支援する
32※補足 水色の表記はどちらか一方の事例のみで判明した因子フィッシング対策

33

事業者による対策・利用者による対策

フィッシング対策協議会，フィッシング対策ガイドライン
2022年度版目次より抜粋

34

送信ドメイン認証
メールが正規の送信元から送られてきたか、検証できる技術
現在、SPF、DKIM、DMARCの3種類がある

SPF

DKIM

図は https://www.dekyo.or.jp/soudan/data/anti_spam/meiwakumanual3/manual_3rd_edition.pdf より引用
35

SPFとDKIM
SPF
検証方法
検証対象
導入
利点
欠点
DKIM
検証方法
検証対象
導入
利点
欠点
36

Sender Policy Framework
正規のサーバー（IPアドレス）から送信されたかを検証
メールソフトで表示されないほうのメールアドレス（エンベロープ From）
送信側の設定はSPFレコードをDNSへ登録するだけで容易
受信時に検証を行っている事業者が多い（しかし多くは fail しても素通し）
単体ではエンベロープFromに独自ドメインを使用して、SPFの検証をpass （回避）する
なりすまし送信は検出できない
DomainKeys Identified Mail
電子署名でメールを検証。S/MIMEはメール本文のみが署名対象だが、DKIMはメー
ル配信時につけられるヘッダー情報やメール本文も署名対象にできる
署名対象の情報（差出人、日付時刻、受信者などのヘッダー情報およびメール本文）
S/MIMEと同様に、送信側は各メールへDKIM署名するためのシステムが必要
メールを転送されても検証可能
署名に使うドメインを指定できるため、単体では検証を回避可能
https://www.antiphishing.jp/enterprise/domain_authentication.html

DMARC

https://www.dekyo.or.jp/soudan/data/anti_spam/meiwakumanual3/manual_3rd_edition.pdf
37

DMARC
SPFとDKIMの欠点を補い、有用な機能を実現
DMARC
検証方法
検証対象
導入

利点

欠点

38

Domain-based Message Authentication, Reporting, and Conformance
SPFとDKIM の検証結果を使って検証。SPF+DMARC など、片方だけでも可
メールソフトで表示されるほうのメールアドレスで検証
すでにSPFまたはDKIMが設定されていれば、送信側の設定はDMARC レコードをDNSへ登録するだけで容易
SPFのみでは正規メールとして誤判定される なりすまし送信を検出できる
ドメイン管理者側が、検証失敗したメールの扱いを指定できる（迷惑メールフォルダーへ配信、拒否等のポリシーを宣言）
迷惑メールフィルターも送信ドメイン認証結果を利用するため、組み合わせることで、より効果が高くなる
受信側から送られる DMARC レポートで、検証結果や効果を確認できる。 正規メールの検証成功数、なりすまし送信の検知、配信規模の把握など大手のメールサービスは対応しているが、日本国内の事業者や ISP は対応が遅れている
https://www.antiphishing.jp/enterprise/domain_authentication.html

フィッシング対策研究

39

IEEE Xploreから

40

IEEE Xploreから”phishing”が含まれている773論文タイトル内の名詞を使ってテキストマイニング

41※株式会社ユーザーローカルのテキストマイニングサービスを利用させていただきましたIEEE Xploreから
出現回数
0

100

200

300

400

500

600

700

800

900

phishing
detection
using
based

attacks
machine learning
websitesantiapproachwebsiteattackurl
detectingclassification
webtechniques
model
analysis
emailfeature42※株式会社ユーザーローカルのテキストマイニングサービスを利用させていただきましたIEEE Xploreから

43※株式会社ユーザーローカルのテキストマイニングサービスを利用させていただきました情報学広場から44

情報学広場から「フィッシング」が含まれている（重複を除いた） 94論文タイトル内の名詞を使ってテキストマイニング

45※株式会社ユーザーローカルのテキストマイニングサービスを利用させていただきました情報学広場から
出現回数
0

5

10

15

20

25

手法
フィッシングサイト
検知
提案
フィッシング詐欺
対策
利用
webサイト
悪性
dns
url
考察
特性方式
分析
特徴
評価
システム

攻撃
検討

46

※株式会社ユーザーローカルのテキストマイニングサービスを利用させていただきました情報学広場から

47※株式会社ユーザーローカルのテキストマイニングサービスを利用させていただきましたなんとなくの傾向（私見）
••

•
•
•

•
•
48

これだけでは何とも言い難いものの・・・
フィッシングサイトやフィッシングメールの検出に着目した論
文が多そう
海外では単体要素（ドメイン等）への着目より、説明変数が多い機械学習が主流かLanguage Barrier （英語vs日本語）もありそう
DMARC関連論文を検索してみたところ、 （あまり関係なさそうなのも含んで） IEEEで21本、IPSJで16本対策事業者と研究者の間にはギャップがあるかも（傾向とは違うが）そもそもフィッシングというキーワードがあいまい？

研究用リソース49

UCI Phishing Websites Dataset

https://archive.ics.uci.edu/ml/datasets/phishing+websites

50

PhishTank https://phishtank.org/

51

JPCERT/CC Phishing URL dataset
https://github.com/JPCERTCC/phishurl-list

52

まとめ

53

まとめ
• フィッシング・スミッシングが猛威を振るっている• フィッシングはビジネス化され、エコシステムを形成している• 利用者、事業者それぞれ異なるフィッシング対策• 様々な観点でのフィッシング対策研究がおこなわれている• しかし、フィッシングは減るどころか増加傾向にある• 対策検討に向けて研究コミュニティもぜひご協力ください54ご清聴ありがとうございました

Special Thanks:
コンテンツをご提供いただいたフィッシング対策協議会学術研究WGの皆様
タイトルをご提案いただいたソリトンシステムズの荒木様55