SCIS 2013
The 30th Symposium on
Cryptography and Information Security
Kyoto, Japan, Jan. 22- 25, 2013
The Institute of Electronics,
Information and Communication Engineers

Copyright© 2013 The Institute of Electronics,
Information and Communication Engineers

ワンクリック詐欺を防ぐ手法に関する考察
A Study to Protect Users from Threats such as “One-Click Froud”
唐沢 勇輔*
Yusuke Karasawa

橋本 正樹*
Masaki Hashimoto

辻 秀典*
Hidenori Tsuji

田中 英彦*
Hidehiko Tanaka

あらまし ワンクリック詐欺と呼ばれる不正請求手法が登場して久しいが，国民生活センターや IPA等への相談件数は一向に減少しておらず，またこうした不正請求画面の駆除サービスなるものも登場している現状をかんがみると，技術的な対策が確立しているとは言い難い．このような PC のデスクトップ上に不正請求画面を表示するようなワンクリック詐欺手法では，HTA 形式のファイルが利用されており，この手法についても技術面での対策が取られていない状況がある．よって本稿では，まず，同じ詐欺的手法であるフィッシング詐欺の対策技術に関する先行研究を整理し，ワンクリック詐欺に対しても有効かどうかを整理する．次に，ワンクリック詐欺に利用される HTA ファイルのサンプルと，正当な目的で作成された HTA ファイルのサンプルを複数比較した結果をもとに，ワンクリック詐欺に利用されるような HTA ファイルの特徴を明らかにする．その上で，HTA 形式のファイルを利用したワンクリック詐欺の技術的対策手法について考察する．
キーワード 個人ユーザ，フィッシング詐欺，ワンクリック詐欺，不正請求

はじめに1

個人・家庭での IT 利用者に着目した場合，情報セキュリティ上の脅威は多岐にわたるが，以下の 4パソコンをはじめとした ICT 機器やブロードバ種類に分類できる．

ンドの普及に伴い，一般家庭でもインターネットに接続した情報デバイスを利用することはもはや当脅威類型たり前になってきた．こうした流れとともに，個人

脅威
ワンクリック詐欺，偽セキュリティaが情報セキュリティのリスクに直面する場面が増

直接的な金銭被害
ソフトえている．また，攻撃者の意図が愉快目的や技術誇

マルウェアによる情報詐取，フィッb

示から金銭や情報詐取といった具体的な利益に変情報詐取による金銭被害
シング詐欺，盗聴化する中で，過去には「ウイルスに感染してパソコンが使えない」といった程度の被害だったものが，「情報を詐取されカードを不正利用される」というc

情報機器の利便性低下

マルウェア感染，迷惑メールd

心理的な被害なりすまし

表１：個人をとりまく脅威の類型

より実被害を伴うものに変化しており，リスクの深化が見られる．IT が生活に浸透するようになった

この 4 種類のうち，金銭被害につながるのは a お

ことによって，リスクが量的・質的に拡大している

よび b だが，この内，不正送金やカードの不正利用と言えよう．

についてはサービス提供者による補償が行われることがあるものの[1][2]，一般的には，一度支払って* 情報セキュリティ大学院大学, 〒 221-0835 神奈川県横浜市神奈川区鶴屋町 2-14-1
Institute of Information Security, 2-14-1 Tsuruyacho,
Kanagawa-ku, Yokohama-shi, Kanagawa, 221-0835, Japan.

しまった金銭を取り戻すのは困難である．従って，a1および b による被害を防ぐためには，IT 利用者を保人の動画だと思い込んで」[4]という事例もある．共護する方策が必要であるが，b については学術研通しているのは動画を閲覧しようとしてユーザ自身

究・商用製品を問わず広く検討されている一方で，aでクリックをしている点にある．マルウェア感染はのうち，特にワンクリック詐欺については日本特有

ドライブバイダウンロード攻撃に代表されるようにの事象であるためか，研究例が少なく検討が不十分

いかにユーザに気づかれずに感染させるかが基本的である．同時に，a は，IPA への相談件数でみるとな動機づけとしてあるが，ワンクリック詐欺の場合

2011 年の 1 年間で 5,509 件[3]，国民生活センターはクリックという能動的な行動をさせているために，や全国の消費者センターへの相談件数でみるとユーザ自身にも後ろめたさがあり，支払いにつなが2011 年で 95,545 件[4]に上り，マルウェア感染と比ってしまっているものと考えられる．

較して現象が目に見えやすいという事実を差し引い2.2てもその相談件数の多さは目を引くものがあり，ま典型的な感染経路

た，インターネットホットライン連絡協議会に寄せパソコン上にワンクリック詐欺画面を表示させる

られる相談件数でも，約 23% がワンクリック詐欺等

手法は，HTA ファイルを利用した手法が用いられてに起因する架空請求にあたる．さらに，これらの相おり，以前からみられる手法であるが未だに変わっ談件数を俯瞰すると，マルウェア等に比べて前年比ていない．典型的な経路は以下のとおりである．[5]

件数があまり減っていないのも a の特徴として挙げられる．

(1) 検索などで問題のサイトを閲覧

このような背景のもと，本研究では，最近のワン(2) 無料動画を再生するよう画像をクリッククリック詐欺に特徴的な HTA ファイルを用いた手法を紹介し，その対策について考察を行うものである．
考察にあたっては，ワンクリック詐欺そのものの先行研究が少ないことから，同じ詐欺的手法であるフィッシング詐欺の研究事例をもとに考察を行った．
また，実際にワンクリック詐欺に利用されている
HTA ファイルを web から収集し，正当な理由で配布されている HTA ファイルと比較することで対策手法を見出せないか検討した．
以降，本稿では，はじめに第 2 章でワンクリック

図１：典型的な感染経路例１

詐欺の特徴を，被害事例や感染経路から説明し，続いて，第 3 章でワンクリック詐欺の先行研究を紹介(3) 利用規約への同意画面をクリックする．その後，第 4 章と第 5 章で既存のフィッシン※このステップで複数回クリックを求められるこグ詐欺対策の研究をもとにした対策手法の考察を行とも多い．

い，最後に，第 6 章でまとめと今後の課題を述べる．

ワンクリック詐欺の特徴

22.1

被害事例からみる特徴

国民生活センターに寄せられた相談事例を見ると，アダルトサイトを経由して被害にあうことが多いが，「パソコンで友人のブログにリンクされた動画を友2mshta.exe を実行するように登録される方法がある．

図 2：典型的な感染経路例 2

後者の場合，画面を閉じてもすぐに表示され，被害(4) 動画リンクをクリック

事例にあるように「パソコンに画面が張り付いて取(5) Windows のセキュリティ警告で[開く]や[実行]り除けない」といった状態に陥る．

をクリック

2.3

HTA ファイルを用いた手法のメリット

パソコンにポップアップ画面を表示させるだけであれば，そうした機能を持つプログラムを作成するなど多くの手法が考えられるが，攻撃者はなぜ HTAファイルを用いた手法を採用しているのだろうか．
トレンドマイクロ社[6]によると本手法には，攻撃者にとっては以下のようなメリットがある．

図 3：典型的な感染経路例 3(6) 手順(5)を実行した結果として，デスクトップ画・ EXE ファイルよりユーザの警戒感が低い．

面に不正請求あるいは登録完了のメッセージが表示

・ HTA の中で転送させるため，ダウンロードファイされ続ける．

ルのソースだけではレジストリを改変させる悪質なコードを確認出来ない．
・ 転送先の HTML には，暗号化された VBScript を使用し，人の目では動作が判別できないようにしている．
・ 「mshta.exe」を利用し，警告を出す事無くスクリプトコードを実行させている．
これらに私見を加えると，技術的には単純で流用が容易な手法であるため，技術的な成熟度が低くても攻撃を成功させられることにあるのではないかと考える．HTA ファイルを用いたワンクリック詐欺の図 4：典型的な感染経路例 4

手法が世の中に現れてから，現在に至るまで技術的には大きな変化が見られないことも，このことを証

ワンクリック詐欺につながるサイトでは多くの場明しているのではないか．

合その入口で，この手順が詳細に案内されている．
ユーザはその指示に盲目的に従って「画面が出続け3る」という結果を予測せずにこの手順を進めている

ワンクリック詐欺対策の先行研究
ワンクリック詐欺（不正請求）についての学術研と思われる．

究は，日本特有の現象であるためか，海外において手順(6)でパソコンの画面にポップアップを表示は研究自体が少ない．国内の研究では，名越らによさせ続ける方法としては 2 種類あり，レジストリのって，web ページ中の単語情報を用いてワンクリッスタートアップ用のパスに URL をパラメータとしてク詐欺を防止する手法[7]が提案されている．

mshta.exe を実行するように書き込みパソコン起動

この手法は，詐欺的ページにみられる特有の単語時に画面を表示しているものと，Windows のタスクを複数抽出して，その発言割合によって詐欺ページスケジューラに同じく URL をパラメータとして3

か非詐欺ページ（正常ページ）かを判定するものでブラックリスト・ホワイトリストのデータベースのある．実際のワンクリック詐欺ページを用いて実験

優务によって効果の高低が変わってくるものである．

を行ったところ詐欺ページの的中率が 95％，非詐欺学術研究としては，ソーシャルブックマークを URLページの判別的中率が 94％と比較的高い精度で判評価に用いる手法[12]が提案されているたり，事前別を行うことができている．にユーザ固有のホワイトリストを用意してフィッシ

しかしながら，本研究の提案手法では web ブラウ

ングサイト判定をより確実に行えるようにした手法

ザで表示される請求画面に対しての判定しか行えな[13]などがある．

いため，HTA ファイルを用いてウィンドウ内に請求(2)は，フィッシングサイトに特徴的なページコン画面を表示するような手法については有効ではない

テンツをもとにフィッシングサイト判定を行うものと考えられる．

である．たとえば，フィッシングサイトが正規サイそのほかの，ワンクリック詐欺に対抗することをトの模倣であることに着目し，当該ページから企業目的にした研究でも web ブラウザ上で表示される請名を抽出して企業名に対応する正規 URL ホワイトリ

求画面を解析したり，あるいはブラックリスト化しストと当該ページ URL を比較して判定する手法[14]てブロックしたりといった研究が多い（[8][9][10]）． や，当該ページから自然言語処理と統計分析によっ市場においては，駆除サービス([11])なるものがセて抽出したキーワードをもとに検索エンジンで正規キュリティ各社から提供されているが，これは一方サイトを見つけ当該ページと比較する手法[15]などで技術的な対策が確立していないことを示しているがある．コンテンツという大きくは変化しにくい特ともいえよう．

徴点に着目して判定することで，ブラックリスト方4

先行研究としてのフィッシング詐欺対策

4.1

フィッシング詐欺対策の分類式における「後追い」という課題を解決し，より汎用的な対策を目指したものである．
(3)については，フィッシングサイトの存続期間が短いという特徴に着目し，ドメイン名や個人情報のフィッシング詐欺を技術的に防ぐ手法については，詐取といった７つの特徴をもとに判定する[16]があ

国内外で多くの研究がある．本節では，同じ詐欺的る．(2)同様，データベースに依存せず汎用的にフィ手法であるフィッシング詐欺をユーザ側で技術的にッシングサイトの判定を行なうことを目指したもの防ぐことを提案したいくつかの研究を整理することである．コンテンツのみならず web サイトの存続期で，ワンクリック詐欺に利用できるものがないか考間などの情報を判定材料にしているという点と，プ察したい．なお，ここではフィッシング詐欺を誘導ロキシサーバーでの実装を提案している点が特徴的

するメールを防ぐような手法は対象から除外していである．

る．HTA ファイルを用いたワンクリック詐欺については，メールから誘導されるという事例は知られて4.2いないためである．

ワンクリック詐欺対策への応用(1)の手法については，ワンクリック詐欺につながフィッシング詐欺をユーザ側で防ぐ手法は，(1)る HTA ファイルをダウンロードするサイトの URL をURL データベースを利用するもの，(2)web ページにブラックリスト化し，そのデータベースをもとにサ表示されるコンテンツ情報を利用するもの，(3)HTTP

イトへのアクセスやファイルダウンロードをブロッ

リクエストの特徴を利用するものの３つに大別できクするという手法が考えられる．しかし，フィッシ

る． (1)の手法の代表的なものは商用サービスとしング詐欺対策と同様に，ブラックリストに存在してて一般的なブラックリスト方式である．ブラウザのいないサイトについてはブロックされないという課プラグインやアプライアンスとして，有償・無償を題は残る．あるいは，ソーシャルブックマークの考問わず市場において多くの製品が提供されている．

え方を応用し，アクセス数が著しく少ない URL につ4表 2：HTA ファイルのダウンロード URL 解析

いてはブロックするという手法も考えられるがこのンクリック詐欺サイトとして判定する[7]のような場合は誤検出が課題になるであろう．

アプローチは考えられるが，HTA ファイルをダウン(2)の手法については，ワンクリック詐欺の場合，ロードする手法の中には，被害事例でも示した通り正規サイトのようなものが存在するわけではないた

友人のアップロードした動画と錯誤して閲覧（HTAめ，[14][15]のような手法をとることは難しい．コファイルのダウンロードと実行）を行ってしまうよ

ンテンツにおける特徴点を何らかの形で抽出してワうなケースも見られるので，こうしたケースに対す
5

る有効性は疑問が残る．

Netcraft から得られる結果の比較を行った．詳細は(3)については，ワンクリック詐欺に利用される

表２の通りである．

HTA ファイルをダウンロードするページの URL も，良性 15 サンプル，悪性 30 サンプルに対する結果

フィッシング URL 同様に存続期間は短いと考えられであるが，悪性 HTA ファイルのダウンロードもとにる．フィッシング詐欺同様，ワンクリック詐欺のサついてはほとんどがサイト立ち上げ日が不明である

イトもブラックリストによる検知を回避するためにことがわかる．一方で，経験的に知られている，サ日々新しい URL が生まれているためである．誤検出

イト提供サーバが国外にあるという点については，の可能性を低くするため，HTA ファイルのダウンロ

必ずしもすべての URL が国外とは言えないことも見ード元 URL の存続期間等の特徴から判定を行うといて取れる．

うことも考えられよう．また，ワンクリック詐欺の検討対象としたサンプルが少ない状況ではあるが，ポップアップウィンドウはブラウザ内に表示される

HTA ファイルのダウンロード元 URL に着目した場合，わけではないので，ポップアップウィンドウを経由

悪性と良性では明らかな差があると言えるのではな

して行われている通信を解析して判定するという手いか．

法を想定した場合，ブラウザに依拠しないプロキシ6を利用する手法については参考になると思われる．

5

まとめと今後の課題
本稿では，いまだに被害の減らないワンクリック

悪性 HTA ファイルと良性 HTA ファイル

詐欺を，ユーザ環境において技術的に防ぐことを目

ここでは，便宜的にワンクリック詐欺の過程で実的に，同じ詐欺的手法であるフィッシング詐欺を防行される HTA ファイルを「悪性 HTA ファイル」，正ぐ手法を参考に考察を行った．その結果，悪性 HTA規の目的で利用される HTA ファイルを「良性 HTA フ

ファイルのダウンロード元 URL はフィッシング詐欺ァイル」と呼称する．悪性ファイルはワンクリックサイト同様，存続期間が短いという特徴を見出すこ詐欺に利用されているサイトを検索し，実際にダウとができた．

ンロードされる HTA ファイルを収集したものである．

一方で，この 1 点の特徴点のみで判断してしまうすべてのファイルでパソコン内にポップアップ画面と，個人サーバや新たに作成されたサイトからダウを表示させる動作を行うことを確認している．良性

ンロードされる良性 HTA ファイルを誤検知してしまファイルについては，スクリプトファイルやサンプうという問題が発生しうる．そのため，判定に併用ルスクリプトを提供している複数のサイトからダウすることができる特徴点を見出す必要がある．

ンロードした HTA ファイルである．こちらも実際に実行して動作に問題ないことを確認している．

参考文献

ここで，ワンクリック詐欺は論理的には 2.2 で示した感染経路のいずれのステップでも防ぎうるわけ[1] http://www.jabank.org/osirase/080901a.html(2012/12/12 確認)[2]
http://www.cr.mufg.jp/member/service/basic/use/sec
urity/approach/amends/index.html (2012/12/12 確認)[3] インターネットホットライン連絡協議会「2012 (平成 24) 年 メ ー ル 相 談 項 目 月 別 件 数 」
http://www.iajapan.org/hotline/data/data.html[4]国民生活センター報道発表資料
http://www.kokusen.go.jp/pdf/n-20120906_1.pdf[5] IPA 注意喚起「第 11-01-132-4 号」
http://www.ipa.go.jp/security/topics/alert20080909

であるが，手順(6)でポップアップ画面しまう問題も防止することを主眼におきたい．たとえば，ポップアップ画面内に表示される内容を解析して詐欺であるという結果を示してもワンクリック詐欺自体は防げるが，パソコンのデスクトップに表示されるポップアップそれ自体もユーザにとっては迷惑なものに変わりないためである．そこで，HTA ファイルそれ自体を比較するよりは，悪性 HTA ファイルと良性 HTAファイルをダウンロードする元 URL に着目して，
6

.html[6]トレンドマイクロ セキュリティ ブログ「HTA を利用したワンクリックウエアの新たな手口」
http://blog.trendmicro.co.jp/archives/2729[7] 名越潤也, 田中英彦, 単語情報を用いたワンクリッ
ク詐欺対策手法の提案, 2007 年暗号と情報セキュリティシンポジウム(SCIS2007), 2007 年.
[8] 高正博, 畑上英毅, ソーシャルエンジニアリング攻撃の分析と対策, 紀要開発工学部／第18号(2008), 2008年
[9] 柴田賢介, 神谷造, 佐野和利, 荒金陽助, 塩野入理,
金井敦, 迷惑メールにおける誘導手法に関する一考察,情報処理学会研究報告(2007-CSEC-38), 2007 年.
[10] 松木隆宏, 新井悠, URL ブラックリストの効率的な利用方法の一検討, 電子情報通信学会 信学技報
(ICSS2009-12), 2009 年.
[11] トレンドマイクロ社「おまかせ！不正請求クリーンナップサービス」
http://safe.trendmicro.jp/products/popupcleanup.aspx
マカフィー社「ウイルス駆除サービス」
http://www.mcafee.com/japan/home/vrs/[12]中山心太「ソーシャルブックマークを用いたフィッシング検知技術」(2009-FI-94(5))[13] A. Belabed, E. Aimeur, A. Chikh "A personalized
whitelist approach for phishing webpage detection"(2012 Seventh International Conference on
Availability, Reliability and Security)[14] 柴田賢介，荒金陽助，塩野入理，金井敦「Web サイ
トからの企業名抽出によるフィッシング対策手法の提案」（2006-DPS-128(4)）[15] 中山心太，吉浦裕「模倣コンテンツの特性に基づくフィッシング検知方式」（2007-CSEC-38(57)）[16] 中村元彦，寺田真敏，千葉雄司，土居範久「プロキシを利用した HTTP リクエスト解析によるフィッシング
サイト検出システムの提案」（情報処理学会論文 Vol.48
No.10）

7