2023年2月8日
MCPC情報セキュリティセミナー #10

フィッシングの報告状況

一般社団法人JPCERTコーディネーションセンター
エンタープライズサポートグループ リーダー
シニアアナリスト
吉岡 道明,CISSPJPCERT/CCの紹介
一般社団法人JPCERTコーディネーションセンター
Japan Computer Emergency Response Team / Coordination Center➢ コンピューターセキュリティインシデントへの対応、国内外にセンサーをおいた
インターネット定点観測、ソフトウェアや情報システム・制御システム機器などの脆弱性への対応など国内の「セキュリティ向上を推進する活動」を実施➢ 1995年から活動を実施。現在は経済産業省や内閣官房からの委託予算で活動➢ サービス対象: 国内のインターネット利用者やセキュリティ管理担当者、ソフトウェア
製品開発者等のセキュリティに関わる担当者➢ インシデント対応をはじめとする、国際連携が必要なオペレーションや情報連携に関する、日本の窓口となる「CSIRT」※各国に同様の窓口CSIRTが存在する（米国のCISA（US-CERT）、韓国のKrCERT/CC、等）

経済産業省からの委託事業としてサイバー攻撃等国際連携対応調整事業を実施
サイバーセキュリティ基本法上の「サイバーセキュリティに関する事象が発生した場合における国内外の関係者との連絡調整を行う関係機関」

サイバーセキュリティ協議会（2019年発足）の事務局をNISCとともに実施（事案対応の相談や情報共有活用の運用面を担当）
1© 2023 JPCERT/CC

JPCERT/CCの果たす役割
JPCERT/CC

Japan Computer Emergency Response Team / Coordination Center
国内における“火消し”の役割⇒「インシデントレスポンスチーム」【対策・予防】
脆弱性情報
ハンドリング【注意喚起】
情報収集・分析
情報発信【初動対応】
インシデント対応

国際間・国内連携における“窓口”の役割⇒「コーディネーションセンター（CC）」
さまざまな情報共有活動間や官民組織間の連携を調整
窓口CSIRT2© 2023 JPCERT/CC

各国窓口CSIRTを通じた国際間連携
窓口CSIRT

JPCERTにおけるフィッシング対策の取り組み

3© 2023 JPCERT/CC

フィッシング対策協議会 情報発信
緊急情報
https://www.antiphishing.jp/news/alert/
一般への影響度が高い（報告が多い、ユーザー数が多い）フィッシングのメール文面とサイト画像を掲載

4© 2023 JPCERT/CC

フィッシング対策協議会 情報発信
月次報告書
https://www.antiphishing.jp/report/monthly/—フィッシング、URL、ブランドの件数を掲載—1カ月分のデータを集計—その月の傾向など、最新情報のサマリーを掲載
9,000
8,000
7,000
6,000
5,000
4,000
3,000
2,000
1,000
0

5

© 2023 JPCERT/CC

8,034 7,760
5,577
1,713 2,100

2,352 2,388

1月

3月

2月

4月

6,218

4,322
3,788
3,327

5月

6月

7月

8月

9月 10月 11月

フィッシング報告状況2022
報告件数は2020年以降急増
過去最高の報告件数を毎年更新

6© 2023 JPCERT/CC

フィッシング報告状況2022
2022年7月過去最高の月次報告件数10万件超えドメイン、サブドメインを組み合わせたURL多数観測

7© 2023 JPCERT/CC

詐称される分野の割合 2022
クレジットカードを利用できるサービスであり、ユーザーが多ければ狙われる可能性がある。誘導率の高い文面で繰り返し狙われる傾向も。
フィッシング対応、対策が遅れている分野が狙われている可能。
100%

90%

1.91%
1.02%

3.26%
1.58%

19.39%

80%
70%

1.50%

50.60%

14.04%
10.14%

49.60%

60%

5.83%
18.93%
13.24%

16.97%

3.94%

0.63%
4.02%
0.30%
4.68%

20.45%
17.51%

43.09%

0.44%
5.57%
0.43%
7.69%

21.14%
17.78%
23.02%

50%

54.19%

40.04%

21.69%
35.74%

40%

67.64%

30%
20%

10.01%

0.43%
4.66%

53.16%
40.79%

36.17%

61.47%
51.06%
42.01%

34.51%

30.20%

24.85%

23.38%

3月

4月

5月

6月

7月

8月

9月

交通

ペイメント

銀行

サービス

省庁

モバイル

放送

10%

26.32%

0%
1月

2月

クレカ
8

© 2023 JPCERT/CC

EC

10月

ISP

11月

仮想通貨

12月

運送

メール

クレジットカード不正利用被害の発生状況

日本クレ
ジット協
会 クレ
ジット関
連統計
https://www.jcredit.or.jp/information/statistics/#damage

日本クレジット協会 クレジットカード不正利用被害額の発生状況 をもとにグラフ作成
https://www.j-credit.or.jp/information/statistics/#damage9© 2023 JPCERT/CC

情報セキュリティ10大脅威2023（個人）
前年順位

脅威

順位

1位

フィッシングによる個人情報等の詐取

1位

2位

ネット上の誹謗・中傷・デマ

2位

3位

メールやSMS等を使った脅迫・詐欺の手口による金銭要求

3位

4位

クレジットカード情報の不正利用

4位

5位

スマホ決済の不正利用

5位

7位

不正アプリによるスマートフォン利用者への被害

6位

6位

偽警告によるインターネット詐欺

7位

8位

インターネット上のサービスからの個人情報の窃取

8位

10位

インターネット上のサービスへの不正ログイン

9位

圏外

ワンクリック請求等の不当請求による金銭被害10位

独立行政法人 情報処理推進機構「情報セキュリティ10大脅威2023」
https://www.ipa.go.jp/security/vuln/10threats2023.html
10© 2023 JPCERT/CC

消費者委員会「フィッシング問題への取組に関する意見」
2020年12月に消費者委員会から「フィッシング問題への取組に関する意見」として、対策を所管する、警察庁、総務省、経済産業省、消費者庁に対して「早急に取り組むべき事項」として意見が示された。
１．フィッシングメールの受信防止対策の普及促進および効果検証
２．不正アクセス禁止法等に基づく取り締
まりの強化
３．消費者への注意喚起の一層の強化
４．関係行政機関の連携強化
https://www.cao.go.jp/consumer/iinkaikouhyou/2020/1203_iken.html

11© 2023 JPCERT/CC

消費者委員会「フィッシング問題への取組に関する意見」
フィッシングメールの受信防止対策の普及促進および効果検証（１）フィッシングメールの受信防止対策の普及促進
ア 送信ドメイン認証技術の普及促進
イ 迷惑メールフィルターの啓発強化（２）フィッシングメールの受信防止対策の効果検証
不正アクセス禁止法等に基づく取締りの強化
消費者への注意喚起の一層の強化（１）消費者に対する注意喚起の強化（２）消費者側の対策に係る周知啓発の強化（３）注意喚起および周知啓発の効果検証

関係行政機関の連携強化
12© 2023 JPCERT/CC

総務省の動き
総務省サイバーセキュリティタスク
フォースにて、電気通信事業者におけるDMARC等の対策導入推進が議論され「ICTサイバーセキュリティ総合対策2022」に盛り込まれる

https://www.soumu.go.jp/main_sosiki/kenkyu/cybers
ecurity_taskforce/02cyber01_04000001_00215.html

13© 2023 JPCERT/CC

経済産業省の動き
経済産業省クレジットカード決済シ
ステムのセキュリティ対策強化検討会における検討結果としてイシュ
アーにおけるDMARC導入を要請

https://www.nikkei.com/article/DGXZQOUA26C990W2A221C2000000/

https://www.meti.go.jp/shingikai/mono_info_service/credit_card_payment/
pdf/005_02_00.pdf

14© 2023 JPCERT/CC

フィッシング詐欺とは実在する組織を騙って、ユーザーネーム、パスワード、アカウントID、ATMの暗証番号、クレジットカード番号といった個人情報を詐取する行為（フィッシング対策協議会）
不正アクセス禁止法上における「フィッシング行為」を対象— アクセス管理者と誤認させて利用権者に行う行為— 「識別符号の入力を求める情報」があるWebサイトを公開すること（フィッシングサイト公開）— 「識別符号の入力を求める情報」ある電子メールを送信すること（フィッシングメール送信）— 「識別符号」とは一般的にID・パスワード（ログイン画面があること）

15© 2023 JPCERT/CC

フィッシングと扱わないケース
迷惑メール（特定電子メール法に違反するもの）
当選詐欺（スマフォ当選、100円で安く買えるなど）
悪質ECサイト
偽ブランド品販売（レイバン、オークリー等）
セクストーションメール（性的脅迫）
出会い系等
捜査機関ではないので捕まえたりすることはできません

16© 2023 JPCERT/CC

フィッシング詐欺の流れ
メールサーバー
攻撃インフラ（メールサーバー）

ユーザー

Webメールサービス、プロバイダーメール
サービス

フィッシングサイト
ブラウザー
不正利用

レジストラー17© 2023 JPCERT/CC

ホスティング不正契約

フィッシング犯罪の特徴
目的（認証情報等の詐取）を達成しやすい― （他の犯罪と比較した場合）フィッシングサイトに誘導すればよく、個別の被害者ごとにオペレーションを行わなくてよい
スケールメリット？がある― ばらまく件数が増えれば増えるほど、1件あたりの犯罪コストは低くなる（他の犯罪に比べて）インフラ／ツール調達コストが低い― 使い捨てできるインフラサービスが多数存在している― マルウェア開発／調達、C2サーバー等の維持をしなくてよい“分業制”により足がつきにくい― 詐取した認証情報等を直接使わずに収益を得られる（詐取情報の転売で収益を得られる）― 攻撃インフラや送信元メールアドレスリストなどの“道具”を自ら調達しなくてもよい（実際に月額課金制のPhaaSも存在する）
18© 2023 JPCERT/CC

フィッシング詐欺 実例１
クレジットカードの利用確認を装うフィッシング
— 複数ブランドを使用したメール誘導— 大量のURLを取得（サーバーは少ない）【JCBカード】カード年会費のお支払い方法に問題があります【My Jcb】重要なお知らせ【VISAカード】お支払い金額確定のご案内
VISAカード 【重要:必ずお読みください】【Mastercard】カード年会費のお支払い方法に問題があります【マスターカード 】重要なお知らせ【イオンカード】カード年会費のお支払い方法に問題があります【イオンカード】重要:必ずお読みください【重要】AEON CARD重要なお知らせ【重要】イオンカード 本人確認のお知らせ [メールコード A●●●●]【重要なお知らせ】三井住友カード ご利用確認のお願い【最終警告】三井住友カード からの緊急の連絡 [メールコード S●●●●]【三井住友カード】事務局からのお知らせ＜緊急!三井住友カード 重要なお知らせ＞【最終警告】au PAY マーケット からの緊急の連絡【au PAY マーケット】個人情報確認

https://www.antiphishing.jp/news/alert/creditcard_20220624.html
19© 2023 JPCERT/CC

フィッシング詐欺 実例２
キャッシュレス決済の不正利用を目的としたフィッシング
— キャッシュレス決済が普及したことによりターゲット— コンビニ等での換金に利用し易い※本物の決済サイトへ誘導する手法も発生

ユーザー

オンライン
ゲームサイト正規キャッシュレス決済
支払いページへ誘導

https://www.antiphishing.jp/news/alert/au_20220412_1.html

https://www.antiphishing.jp/news/alert/mercari_20211006.html

20© 2023 JPCERT/CC

気付かず課金フィッシング詐欺 実例３
コロナ期間を開けての交通往来再開を狙うフィッシング— ETC利用紹介サービスをかたるフィッシングは定番化— 政府による全国旅行支援発表タイミング— リスティング広告を悪用した誘導も発生

https://www.antiphishing.jp/news/al
ert/etcQR_20221115.html
https://www.antiphishing.jp/news/
alert/jalan_20221028.html
https://www.antiphishing.jp/new
s/alert/ekinet_20220729.html
https://www.antiphishing.jp/ne
ws/alert/westjr_20220729.html

21© 2023 JPCERT/CC

フィッシング詐欺 実例４
フィッシングサイトへの誘導にQRコードを使用— URLフィルターを回避するための手法— 過去にも発生。誘導率が低いためか短期間で終わることが多い

https://www.antiphishing.jp/news/alert/etcQR_20221115.html

22© 2023 JPCERT/CC

https://www.antiphishing.jp/news/alert/amazonQR_20230105.html

フィッシング詐欺 実例５
国税庁をかたるフィッシングが定番化— 金融庁、警察庁、フィッシング対策協議会をかたるものも— OS（Android)によっては不正アプリインストール

https://www.antiphishing.jp/news/alert/nta_20220815.html
https://www.antiphishing.jp/news/alert/npa_20221026.html

23© 2023 JPCERT/CC

フィッシング詐欺 実例６
フィッシングURL— 短縮URL、DDNSサービスを使用したフィッシング
— Google翻訳を経由してフィッシングサイトへ誘導する手法

例）
短縮URL
https://rebrand.ly/****DDNSサービス
https://servicecssam86.duckdns.org/?*******

Google翻訳経由
https://translate.google.com/translate?sl=auto&tl=ja&hl=ja&u=https://ancient-featherb86e.h0o8rowdum.*******.***/※ページ翻訳機能へフィッシングURLを指定している

24© 2023 JPCERT/CC

スマートフォン普及による影響
幅広い年齢層の方々がメールやインターネットサービスを活用— 狭いディスプレイ。見難い小さい文字。簡略化された文字表示。
— 本物のメールやWebサイトをコピーしたフィッシングに気付けない。
— 怪しいか調べる方法が難しい（不審な～は意味がない）

ディスプレイネームしか表示されない。長押しすると見える。

フィッシングメールなのに差出人メールアドレスが本物の場合もAmazon.co.jp <news-amazon@rhsvlrv.cn>
赤文字：ディスプレイネーム
青文字：本当のメールアドレス

なりすまし送信メール
メールアドレスを確認しても意味がない25© 2023 JPCERT/CCURL偽装良く見ないとわからないURL（見てもわかりづらい）— サブドメインとドメインの組み合わせ— 大文字、小文字、フォントによっては似たように見える文字を使用— タイプミスするとなりそうな文字— スマートフォンのブラウザーでは、ドメイン名の最初の方しか見えない本物） https://www.amazon.co.jp/偽物) https://www.amazon.co.jp.kwmgmt.top/
https://amzanao.co.ip.aerrtyial.shop/
https://www.amazcznn-co-jp.amazczne.eppium.top/
https://amazom.umzasd.top/26© 2023 JPCERT/CCURL偽装2つのURLのうち、違いがわかりますか？

www.yoshioka.com
www.yοshioka.com「Punycode(ピュニコード)」を悪用したホモグラフ攻撃「yoshioka」の中に見える「o」(オー)は、ギリシャ文字の「ο」(オミクロン)

27© 2023 JPCERT/CC

フィッシング対策ガイドライン
フィッシングは世の中の状況にあわせて、つねに変化し進化しているため、毎年、内容を精査し、改訂版を公開◼ フィッシング対策ガイドライン

https://www.antiphishing.jp/report/guideline/antiphishing_guideline2022.html

Webサイト運営者向けの対策ガイドライン
フィッシング被害を未然に防ぐための注意点や、フィッシングが発生した場合の対応を、ガイドラインとして整理◼ 利用者向けフィッシング詐欺対策ガイドライン

https://www.antiphishing.jp/report/guideline/consumer_guideline2022.html

一般利用者（消費者）向けの対策ガイドライン
フィッシング事例を多く掲載し、インターネットサービスを利用する上での注意点
や対策、被害にあってしまった場合の連絡先等を、ガイドラインとして整理
28© 2023 JPCERT/CC

利用者へのアドバイス
急かされるような文面でも慌てない。メール、SMSのリンクからはアクセスしない
お気に入り（ブックマーク）、正規アプリを利用して、正規サイトにアクセスする
カード情報、口座情報、暗証番号、認証コード等の入力を求められたら一度立ち止まる
怪しいと思ったら「件名」「本文」内の文字列で検索したり、カード会社へ確認
セキュリティ機能を活用する（迷惑メールフィルター、多要素認証の併用）
メールアドレス、同一パスワード変更 （漏えい情報の再利用防止、配信リスト無効化）29© 2023 JPCERT/CC

事業者の対策
フィッシング対策ガイドライン重要５項目
1. 利用者に送信するメールには「なりすましメール対策」を施すこと
2. 複数要素認証を要求すること
3. ドメインは自己ブランドと認識して管理し、利用者に周知すること
4. すべてのページにサーバー証明書を導入すること

5. フィッシング詐欺について利用者に注意喚起すること

30© 2023 JPCERT/CC

なりすまし送信メール対策：送信ドメイン認証
どれか１つを選ぶ、という方式ではなく、SPF、DKIMの認証結果を踏まえてDMARCによる判断／処理が行われる仕組み

SPF

DMARC
認証に失敗したメールの扱いを返答する

送信元IPアドレス情報を登録

DKIM
電子署名の公開鍵情報を登録

問い合せ

DNSサーバー

メールサーバー

ユーザー

メールサーバー
メールサーバー

現状のメールプロトコルでは見分けがつかない31© 2023 JPCERT/CC

送信ドメイン認証方式の比較
SPF

DKIM

DMARC

検証方法

正規のサーバー (IP アドレス）から送信されたかを検証

電子署名でメールを検証。S/MIME
はメール本文のみが署名対象だが、DKIM はメール配信時につけられるヘッダー情報やメール本文も署名対象にできる

SPF と DKIM の検証結果を使って検証。SPF＋DMARC など、片方だけ
でも可

検証対象

メールソフトで表示されないほうのメールアドレス（エンベ
ロープ From ）署名対象の情報（差出人、日付時
刻、受信者などのヘッダー情報およびメール本文）

メールソフトで表示されるほうのメールアドレスで検証

導入

送信側の設定は SPF レコード
を DNS へ登録するだけで容易

S/MIME と同様に、送信側は各メールへ DKIM 署名するためのシステムが必要すでに SPF または DKIM が設定されていれば、送信側の設定は DMARC
レコードを DNS へ登録するだけで容易。

利点

受信時に検証を行っている事業者が多い（しかし多くは fail しても素通し）

メールを転送されても検証可能

SPF のみでは正規メールとして誤判定される なりすまし送信を検出できる
ドメイン管理者側が、検証失敗したメールの扱いを指定できる（迷惑メールフォルダーへ配信、拒否等のポリシーを宣言）
迷惑メールフィルターも送信ドメイン認証結果を利用するため、組み合
わせることで、より効果が高くなる
受信側から送られる DMARC レポートで、検証結果や効果を確認できる。
正規メールの検証成功数、なりすまし送信の検知、配信規模の把握など。

欠点

単体ではエンベロープ From に独自ドメインを使用して、SPFの検証を pass (回避) するなり
すまし送信は検出できない署名に使うドメインを指定できる
ため、単体では検証を回避可能

大手のメールサービスは対応しているが、日本国内の事業者や ISP は対応が遅れているhttps://www.antiphishing.jp/enterprise/domain_authentication.html から筆者作成

32© 2023 JPCERT/CC

なりすまし送信メール、ユーザー側での確認例
Yahoo! メール スマホアプリでの表示例
正規メール

なりすましメール１

なりすましメール２◆ メール送信者はすべてフィッシ
ング対策協議会の正規メールア
ドレス<info@antiphishing.jp>◆ 正規メール
本物のサーバーから送信
SPF=pass
DKIM=pass
DMARC=pass◆ なりすましメール１
偽サーバーから送信
SPF=fail
DMARC=fail◆ なりすましメール２
前ページのメールと同様の例
偽サーバーから独自ドメインでSPFを pass するよう送信
SPF= pass
DMARC= fail

正規メールのみ
DMARC=pass33© 2023 JPCERT/CC

現在、日本で普及しているSPF＋DMARC でも検出可能

DMARC=fail となり、ニセモノの可能性が高いと判別できる！

送信ドメイン認証結果の表示例（正規メールの視認性向上）Yahoo!メールブランドアイコン
https://announcemail.yahoo.co.jp/brandicon_corp/
楽天 : 楽天サービスに対する不正対策
https://corp.rakuten.co.jp/security/anti-fraud/Yahoo！メール
ブランドアイコン

Gmail で表示した BIMI

Yahoo および Gmail は、正規
メールの視認性向上のため、ブランドアイ
コン表示に対応しているユーザーには、本物メールがひとめでわかる効果がある

なりすまし対策を行っている安全なメールサービス、安全なブランドをユーザーに認識してもらえる

ユーザービリティーを大きく向上！
BIMI 対応後は本物のメールにアイコン表示BIMI対応前はブランドアイコン
表示なし
SPFまたはDKIMの検証をPassした
本物のメールにアイコン表示34© 2023 JPCERT/CC

BIMI (Brand Indicators for Message Identification)
DMARC検証をpassした正規メールにブランドアイコンを表示する技術

送信ドメイン認証結果の表示例（正規メールの視認性向上）
送信ドメイン認証結果の表示例（正規メールの視認性向上）
ドコモ公式アカウント
https://www.ntt.com/business/services/official_account.html
送信ドメイン認証 (SPF または DMARC) を pass したメールにマークを表示する機能※ DMARC は 2022年8月23日より対応開始
DMARC ポリシーに従った処理を行っており、p=quarantine/reject のドメインのなりすましメールは利用者の受信トレイに届かない

ドコモメールアプリ、Web メールで表示対応（標準機能）
銀行、クレジットカード系などを中心に、フィッシング対策に力を入れている事業者（サービス）が主に対応している35© 2023 JPCERT/CC

フィッシング対策 (メール関連)◼

被害ブランドへの推奨事項





◼

なりすましメール対策技術 (DMARC) への対応、ポリシーの強化
DMARC レポートによるフィッシングメール配信検知と規模の把握
ブランドアイコンや BIMI、公式アカウントなど、正規メールの視認性向上
利用者への注意喚起、ブランドアイコン等の機能を周知

利用者側での推奨事項（入口対策）
 迷惑メールフィルターの利用 (DMARCポリシーによるフィルタリング） ブランドアイコンや BIMI、公式アカウントなど、正規メールの見分け方を知る
 安全なメールシステム、不正メール対策が強化されたサービスの選択

対応後

対応前
36

© 2023 JPCERT/CC

対応前

対応後

関係省庁フィッシング対策の強化を要請
2023年2月1日 経済産業省、警察庁および総務省が連名で、クレジットカード会社等に対し、送信ドメイン認証技術（DMARC)の導入をはじめとするフィッシ
ング対策の強化を要請。
フィッシング対策協議会が公開する「フィッシング対策ガイド
ライン」にフィッシング対策の実施も要請対象
https://www.meti.go.jp/press/2022/02/20230201001/20230201001.html

37© 2023 JPCERT/CC

フィッシングサイト対応
フィッシングサイトの検知— Twitter等のSNSからの情報収集— ユーザーからの報告

フィッシングサイトの閉鎖調整（テイクダウン）— ホスティング事業者等へのサイト閉鎖依頼— JPCERT/CCや該当事業者（推奨）が実施
URLフィルタリング— フィッシングサイト閉鎖までの利用者保護のため— Google Safebrowsing等へのURL登録38© 2023 JPCERT/CC

対策：テイクダウン
メールサーバー
攻撃インフラ（メールサーバー）

ユーザー

Webメールサービス、プロバイダーメール
サービス

相談／依頼

フィッシングサイト
ブラウザー
不正利用

テイクダウン調整
フィッシング対策
協議会窓口（JPCERT/CC）

39© 2023 JPCERT/CC

レジストラー

ホスティング不正契約

テイクダウンオペレーション
あくまで任意の依頼
契約違反／規約違反として利用を停止／サスペン
ドする
差押え手続きや（民事）差止手続きより即効性がある

フィッシングサイト

サーバー

不正利用（契約）
規約違反

テイクダウン依頼

ホスティング事業者（Abuse窓口）

差押え
国際捜査共助40© 2023 JPCERT/CC

対策：フィルタリング
メールサーバー
攻撃インフラ（メールサーバー）

ユーザー

Webメールサービス、プロバイダーメール
サービス

相談／依頼

セキュリティ製品

フィッシングサイト
ブラウザー
不正利用

フィッシング対策
協議会窓口（JPCERT/CC）

41

URLフィルタリング© 2023 JPCERT/CC

レジストラー

ホスティング

不正契約

検知サービスの活用
早期にURLフィルタリングへの登録、サイト閉鎖調整を行えるた
め、被害抑制に効果が期待できる
組織内に専門の人員や設備がなくても、迅速な対応が可能
2022 年度版の「フィッシング対策ガイドライン」で検知サービスの利用を「必要に応じて」から「推奨」へ変更

42© 2023 JPCERT/CC

フィッシング対策まとめ
なりすましメール対策はブランドとドメインを守るための基本的なセキュリティ対策と考える
送信ドメイン認証、正規メールの視認性向上

フィッシングサイトへの対応 (発見、URLフィルター登録、テイクダウンなど)は、早期に行うほど効果が高い。検知サービスの活用。

フィッシング事例を収集し、自ブランドでの対応方法を検討しておく

一度フィッシングの標的になると、なりすましメール対策を完全に行わない限り、狙われ続けることを認識する（対策をすると減る傾向あり）

43© 2023 JPCERT/CC

自己紹介
一般社団法人JPCERTコーディネーションセンター
エンタープライズサポートグループ リーダー、シニアアナリスト

吉岡 道明（よしおか みちあき）, CISSP
◆経歴

◆講演活動

1993年 システム開発、情報セキュリティ会社 入社
システム開発事業部門にてSE/DBA/PMとして開発プロジェ
クトに従事
DBセキュリティ対策やDB監視システム開発支援に携わった
後、2007年データベースセキュリティ研究所の上級研究員
として、セキュリティ事業部門に異動。インシデント対応
支援、WAF導入支援などの業務に従事する傍ら、執筆や講演活動も行う。2011年からは、セキュリティコンサルティ
ング部門の部門長。その後、セキュリティコンサルタント
として、インシデント対応支援、情報セキュリティアドバ
イザー、CSIRT構築支援などに従事

・Webセキュリティ、フィッシング詐欺に関するセミナー講演－セキュリティ・ワークショップ in 越後湯沢
－千葉インターネット防犯協会－フィッシング対策セミナー（フィッシング対策協議会）－日本クレジット協会－埼玉県クレジットカード犯罪対策連絡協議会 など多数

2018年 一般社団法人 JPCERTコーディネーションセンター 着任（現職）
フィッシング対策協議会における、フィッシング報告受付
業務、および事務局担当として従事する傍ら、執筆および講演活動を行っている。

◆業界団体での活動
・データベース・セキュリティ・コンソーシアム(DBSC)運営委員
44© 2023 JPCERT/CC◆執筆活動
・専門誌・サイトへの寄稿
ーDBマガジン、gihyo.jp、bizgate など
・『情シス担当者のための絵で見てわかる情報セキュリティ（DB MagazineSELECTION) 』(共著)お問い合わせ、インシデント対応のご依頼はJPCERTコーディネーションセンター— Email：pr@jpcert.or.jp— https://www.jpcert.or.jp/

インシデント報告

制御システムインシデントの報告— Email：info@jpcert.or.jp— Email：icsr-ir@jpcert.or.jp— https://www.jpcert.or.jp/form/— https://www.jpcert.or.jp/ics/icsform.html

脆弱性に関するお問い合わせ— Email：vultures@jpcert.or.jp— https://jvn.jp/※資料に記載の社名、製品名は各社の商標または登録商標です。
45© 2023 JPCERT/CC

ご清聴ありがとうございました46© 2023 JPCERT/CC