フィッシング
認証情報詐取の実態とその対抗手段
Noriaki HAYASHI
Senior Researcher
Forward-looking Threat Research
第17回 サイバー犯罪に関する白浜シンポジウム
Shirahama Cyber Crime Symposium Vol. 17
2013.05.24 (fri) Big-UIntroduction
林 憲明
Forward-looking Threat Research
大学卒業後、2002年 トレンドマイクロ入社。国内専門のウイルス解析機関である「リージョナルトレンドラボ」を経て、2010年に新設されたフォワードルッキングスレットリサーチへ異動。現在に至る。「先読み（フォワードルッキング）係」として、テクノロジーやユーザーの調査／分析に留まらず、脅威を生み出す側（犯罪者）が何を狙い／計画しているかに着目し、トレンドマイクロが備えるべき製品／技術の方向性立案を担当している。

フィッシング対策協議会
運営委員

トレンドマイクロ株式会社
シニアリサーチャー
Copyright 2013 Trend Micro Inc.

2

第17回サイバー犯罪に関する白浜シンポジウム

Agenda1. フィッシング詐欺に関する背景
2. フィッシング詐欺の早期発見

3. オンライン銀行詐欺ツールの変遷4. モバイル決済を狙った攻撃
5. 協議会による取り組み
Copyright 2013 Trend Micro Inc.

3

第17回サイバー犯罪に関する白浜シンポジウム

フィッシングサイトのURL件数

1,006
1年で60%増

深刻な被害

584

※約20%は日本のブランドを狙ったもの

02009

2010

2011

2012

※出典：フィッシング対策協議会 月次報告書「フィッシング報告状況」
より、「フィッシングサイトのURL件数」を抽出。
講演者集計、グラフ作成

Copyright 2013 Trend Micro Inc.

4

第17回サイバー犯罪に関する白浜シンポジウム

フィッシャー が狙う4つの業界
金融業界

Social Network

オンラインゲーム

プロバイダ

Copyright 2013 Trend Micro Inc.

5

第17回サイバー犯罪に関する白浜シンポジウム

金融業界
最も深刻な被害

金融業界
69.8%
データ出典：2012年度、トレンドマイクロが日本国内で確認したフィッシングサイトについて標的業種を分類、統計

Copyright 2013 Trend Micro Inc.

6

第17回サイバー犯罪に関する白浜シンポジウム

最も身近なオンライン決済方法
Q. 普段利用している決済方法は何ですか？

クレジットカード70.9%
出典：株式会社ネットプロテクションズ『インターネットショッピングに関する動向調査2012』（2012/4/3 - 16）、N = 2,064,
http://www.dreamnews.jp/press/0000053432/

Copyright 2013 Trend Micro Inc.

7

第17回サイバー犯罪に関する白浜シンポジウム

一人で複数枚を持つ時代
3億
2,164 万枚
3億
1,783 万枚
1 人当たり3.1 枚所有
1 人当たり2.7 枚所有

0

2009年

発行枚数
3億2,164万枚

2012年

出典：
日本クレジット産業協会、2009年3月末の国内のクレジットカード発行枚数(社数400社)は 3 億 1,783 万枚
日本クレジット産業協会、2012年3月末の国内のクレジットカード発行枚数(社数346社)は 3 億 2,164 万枚
総務省「人口推計」2009年3月1日現在の20歳以上の総人口 1 億 434 万人
総務省「人口推計」2012年3月1日現在の20歳以上の総人口 1 億 495 万人

Copyright 2013 Trend Micro Inc.

8

第17回サイバー犯罪に関する白浜シンポジウム

言語がフィッシングに及ぼす影響
フィッシングメールの変遷
2003年
世界初、英語のフィッシングメール※オーストラリアの銀行を標的

2004年
日本語のフィッシングメール

脅威が言語の壁を超えた
Copyright 2013 Trend Micro Inc.

9

第17回サイバー犯罪に関する白浜シンポジウム

Agenda1. フィッシング詐欺に関する背景
2. フィッシング詐欺の早期発見

3. オンライン銀行詐欺ツールの変遷
4. モバイル決済を狙った攻撃
5. 協議会による取り組み
Copyright 2013 Trend Micro Inc.

10

第17回サイバー犯罪に関する白浜シンポジウム

特定のパターンを見つけ出す
日次統計情報6TBの脅威情報入力
収集
特定保護

Copyright 2013 Trend Micro Inc.

11

第17回サイバー犯罪に関する白浜シンポジウム

統計と知覚で早期発見
観測
統計Open SourceIntelligence

収集情報

監視ルール

人間の知覚
Copyright 2013 Trend Micro Inc.

12

第17回サイバー犯罪に関する白浜シンポジウム

一連の攻撃について振り返る
フィッシングサイトのURLリストデータの理解※「ケーススタディ」としてクレジットカード会社の「MasterCard（マスターカード）」を騙った事例を取り上げる。
Copyright 2013 Trend Micro Inc.

13

第17回サイバー犯罪に関する白浜シンポジウム

属性情報の抽出

データ

Open Source INTelligence

データベース群のGeoIP

メールアドレス

評価

地理位置情報フィッシング
URL

サイトの安定性
評価

IPアドレス
評価

Whois情報
過去履歴

濃度※濃度とは、その列におけるデータの一意性。
ユニークな値は濃度が濃いといえる。

Copyright 2013 Trend Micro Inc.

14

第17回サイバー犯罪に関する白浜シンポジウム

URLに隠されたパターン
URL PATH についてワードクラウド作成

データの可視化※ワードクラウド：単語の出現頻度を分析し、頻度に応じた大きさで図示

Copyright 2013 Trend Micro Inc.

15

第17回サイバー犯罪に関する白浜シンポジウム

潜在的な攻撃のリンク

構成要素のつながり / 重なり合い注目

Copyright 2013 Trend Micro Inc.

16

第17回サイバー犯罪に関する白浜シンポジウム

「関係」に共通するパターン
監視対象の特定Copyright 2013 Trend Micro Inc.

17

第17回サイバー犯罪に関する白浜シンポジウム

5ヶ月で400件以上発見
悪意あるドメイン名の登録

ゼロ※407件のフィッシングURLを発見※フィッシングURLを構成するドメインは72件※悪意あるドメイン名の登録（正規のブランド名によく似たドメイン名）は見られなかった。
Copyright 2013 Trend Micro Inc.

18

第17回サイバー犯罪に関する白浜シンポジウム

サーバに対するハッキング
PATH に機械的なパターン※ブランド名を確認※無実のサイトがハッキングされてフィッシングに使われるケースが多い。

Copyright 2013 Trend Micro Inc.

19

第17回サイバー犯罪に関する白浜シンポジウム

ケーススタディに対する結論と展望•統計学と可視化を組み合わせた分析は短時間で高精度なルール作成が可能•複雑な分析を単純化して明確かつタイムリーに情報共有が可能•更なる性質の解析により予防と予測への利用が期待できる
Copyright 2013 Trend Micro Inc.

20

第17回サイバー犯罪に関する白浜シンポジウム

Agenda1. フィッシング詐欺に関する背景
2. フィッシング詐欺の早期発見

3. オンライン銀行詐欺ツールの変遷
4. モバイル決済を狙った攻撃
5. 協議会による取り組み
Copyright 2013 Trend Micro Inc.

21

第17回サイバー犯罪に関する白浜シンポジウム

アクセス頻度
オンラインバンキングに関する調査
月に1回以上41.0%

出典：楽天リサーチ株式会社『オンラインバンキングに関する調査』（2012/5/29 - 30）、N = 1,000,
http://research.rakuten.co.jp/report/20120621/

Copyright 2013 Trend Micro Inc.

22

第17回サイバー犯罪に関する白浜シンポジウム

アクセス目的
オンラインバンキングに関する調査
決済
月に1回以上サービス41.0%
46.2%

出典：楽天リサーチ株式会社『オンラインバンキングに関する調査』（2012/5/29 - 30）、N = 1,000,
http://research.rakuten.co.jp/report/20120621/

Copyright 2013 Trend Micro Inc.

23

第17回サイバー犯罪に関する白浜シンポジウム

日本の オンライン銀行詐欺ツール

Copyright 2013 Trend Micro Inc.

24

第17回サイバー犯罪に関する白浜シンポジウム

2005

KeyLogger
Sniffing ID & Pass

2005年
邦銀を狙った最初の攻撃
60以上の邦銀が標的

標的

ID と パスワード
盗む手口
KeyLogger と Sniffer
Copyright 2013 Trend Micro Inc.

25

第17回サイバー犯罪に関する白浜シンポジウム

2011

Fake Popup
Two-Factor Auth

2011年
新たな対策技術を狙うフィッシャー

標的

二要素認証情報
盗む手口
偽のポップアップCopyright 2013 Trend Micro Inc.

26

第17回サイバー犯罪に関する白浜シンポジウム

2005

2011

KeyLogger

Fake Popup

Sniffing ID & Pass

Two-Factor Auth

この頃の特徴は…
オンライン銀行詐欺ツールはまだ原始的利用者が注意すべき「指標」がある•疑わしいURL / 添付ファイル•あり得ない問い合わせ•不自然な日本語
Copyright 2013 Trend Micro Inc.

27

第17回サイバー犯罪に関する白浜シンポジウム

2011

2005

KeyLogger

Fake Popup

Sniffing ID & Pass

Two-Factor Auth2012 – 2013…

2004

PhishingWebinjects / MITB

日本語のFake Site

Knowledge-based Auth

犯罪技術は年々進化
Copyright 2013 Trend Micro Inc.

28

第17回サイバー犯罪に関する白浜シンポジウム

2012

MITB - Citadel

MITBにより被害の舞台は本物へ

Copyright 2013 Trend Micro Inc.

29

第17回サイバー犯罪に関する白浜シンポジウム

Citadel の標的を探る“config.bin”の解読により標的を知る
Copyright 2013 Trend Micro Inc.

30

第17回サイバー犯罪に関する白浜シンポジウム

“config.bin” の解析…

Copyright 2013 Trend Micro Inc.

31

第17回サイバー犯罪に関する白浜シンポジウム

“config.bin” の解析…

日本を標的とした事例
Copyright 2013 Trend Micro Inc.

32

第17回サイバー犯罪に関する白浜シンポジウム

多くの銀行で採用されるEVSSL

Copyright 2013 Trend Micro Inc.

33

第17回サイバー犯罪に関する白浜シンポジウム

機能を知ることで防げる脅威

Copyright 2013 Trend Micro Inc.

34

第17回サイバー犯罪に関する白浜シンポジウム

「なりすまし」から身を守る術

Copyright 2013 Trend Micro Inc.

35

第17回サイバー犯罪に関する白浜シンポジウム

二経路認証(OUT-OF-BAND Auth)
チャネルを切替え認証

1経路目
インターネット利用申告

2経路目
Mobile Network

本人確認通知Copyright 2013 Trend Micro Inc.

36

第17回サイバー犯罪に関する白浜シンポジウム

二経路認証(OUT-OF-BAND Auth)
チャネルを切替え認証
不正ログイン

不正な利用申告！
Copyright 2013 Trend Micro Inc.

2経路目
不正検知
不正検知

37

第17回サイバー犯罪に関する白浜シンポジウム

Agenda1. フィッシング詐欺に関する背景
2. フィッシング詐欺の早期発見

3. オンライン銀行詐欺ツールの変遷
4. モバイル決済を狙った攻撃
5. 協議会による取り組み
Copyright 2013 Trend Micro Inc.

38

第17回サイバー犯罪に関する白浜シンポジウム

モバイル銀行詐欺ツール
66社の金融機関に対応

SMSベースの二経路認証を突破

SMS + Phishing = Smishing

スミッシング詐欺

SMSで短縮URL通知
オンラインストレージ経由で配布★ロッテ映画館★
映画『Berlin』
家族 または カップル向け割引クーポン※トレンドマイクロにてSMSの内容を翻訳

Copyright 2013 Trend Micro Inc.

40

第17回サイバー犯罪に関する白浜シンポジウム

クーポンアプリを偽り配布
ハイジャックモバイルを作成
警戒心を解くために悪用された
ブランド

Copyright 2013 Trend Micro Inc.

41

第17回サイバー犯罪に関する白浜シンポジウム

認証番号の横取り
のみ監視• 発信元が• 利用者へ
• 攻撃者へCopyright 2013 Trend Micro Inc.

を見せないを転送

42

第17回サイバー犯罪に関する白浜シンポジウム

これが被害の全貌だ！

オンラインストレージ

電話番号

認証番号

認証番号使いなりすまし
決済
現金化可能な物品の詐取

Copyright 2013 Trend Micro Inc.

43

第17回サイバー犯罪に関する白浜シンポジウム

Agenda1. フィッシング詐欺に関する背景
2. フィッシング詐欺の早期発見

3. オンライン銀行詐欺ツールの変遷
4. モバイル決済を狙った攻撃
5. 協議会による取り組み
Copyright 2013 Trend Micro Inc.

44

第17回サイバー犯罪に関する白浜シンポジウム

安全なオンライン生活
1. パソコンを常にクリーンに保つ
2. あなたの個人情報を保護する
3. 注意深くネットにつなぐ
4. かしこいネットユーザーになる
5. よきオンライン市民たれ

http://stopthinkconnect.org/tipsand-advice/japanese-tips-andadvice/※「Stop Think Connect」とは、「National Cyber Security Alliance」と「Anti-Phishing Working Group」が行なっている、キャンペーン活動※2012年9月に米州機構、2012年11月にAPCERTと覚書、2012年10月にカナダ公安省が啓発活動で利用

Copyright 2013 Trend Micro Inc.

45

第17回サイバー犯罪に関する白浜シンポジウム

利用者へアドバイス
1. 怪しいメールに注意
2. 正しいURLにアクセス

3. パソコンを安全に保つ

https://www.antiphishing.jp/report/guideline/consumer_guideline.html
Copyright 2013 Trend Micro Inc.

46

第17回サイバー犯罪に関する白浜シンポジウム

感染の連鎖を絶つ脆弱性対策
MyJVN バージョンチェッカ

MyJVN

http://jvndb.jvn.jp/apis/myjvn/vccheck.html

http://jvndb.jvn.jp/apis/myjvn/sccheck.html

Copyright 2013 Trend Micro Inc.

47

セキュリティ設定チェッカ

第17回サイバー犯罪に関する白浜シンポジウム

パスワード管理を託す

GadgetSoftwarehttp://www.kingjim.co.jp/sp/pw10/

http://safe.trendmicro.jp/purchase/pm.aspx

Copyright 2013 Trend Micro Inc.

48

第17回サイバー犯罪に関する白浜シンポジウム

利用者を救済する責任を果たす…
フィッシング対策機能を提供する事業者に対して、ブラックリストURLを提供する。

14社に提供中(2013年4月現在)

Copyright 2013 Trend Micro Inc.

49

第17回サイバー犯罪に関する白浜シンポジウム

Thank You!

Copyright 2013 Trend Micro Inc.

50

第17回サイバー犯罪に関する白浜シンポジウム

講演者に対するお問い合わせは
noriaki_hayashi@trendmicro.co.jp
無料版
5つまでのIDとパスワードを期間制限なしにご利用いただけます。
http://safe.trendmicro.jp/purchase/pm/trialthanks.aspx

フィッシングの報告、お問い合わせは
info@antiphishing.jp
協議会への入会に関してはantiphishing-sec@jpcert.or.jp
第17回 サイバー犯罪に関する白浜シンポジウム
Shirahama Cyber Crime Symposium Vol. 17
2013.05.24 (fri) Big-U