いかにしてメールセキュリティ問題をとくか（なりすまし・フィッシング・etc）
株式会社TwoFive⽬次■ TwoFive について
■ なりすましメール（DMARC/DKIM/BIMI）トレンド■ フィッシングサイトトレンド■ なりすましメールとフィッシングサイトの関係性■ まとめ・今後の対策を考える■ 質疑応答Ⓒ 2022 TwoFive,Inc.

2

3名の紹介■ 加瀬 正樹■ 佐々⽊ 智彦
■ 藤⽥ 善光Ⓒ 2022 TwoFive,Inc.

3

TwoFive 事業内容
電⼦メールの信頼性と安全性の向上の鍵となる3本のソリューションをご提供しています。
メッセージングシステム

メッセージング
セキュリティ

3本の柱
スレット
インテリジェンス

Ⓒ 2022 TwoFive,Inc.

4

いかにして問題をとくか■ まずは問題をよく理解する■ 理解した上で、計画を⽴てて実⾏する■ 実⾏した結果を振り返り、次につなげる

G. Polya, 1975

Ⓒ 2022 TwoFive,Inc.

5

いかにしてメールセキュリティ問題をとくか■ まずは メールセキュリティ問題 をよく理解する■ 理解した上で、計画を⽴てて 実⾏ 実態調査 する■ 実態調査した結果を振り返り、次（対策の開発）につなげるⒸ 2022 TwoFive,Inc.

6メールセキュリティ問題をよく理解する
攻撃手法・リスク対策

対応技術（抜粋）

ウイルス・スパム・マルウェアの受信コンテンツフィルタ・送信元チェック

コンテンツフィルタ

フィッシング

コンテンツフィルタ・出口対策

Passive DNS, Spamhaus,
OSINT

なりすましメールの受信

DMARC・SPF・DKIM・BIMI

OpenDMARC, 他milter

ホモグラフドメイン攻撃

コンテンツフィルタ・モニタリング

Passive DNS, OSINT

EAC（アカウント不正利用）

認証強化・ピッチコントロール

2FA, 機械学習

不正転送

認証強化・ユーザ通知

2FA

RBL（ブロックリスト）への過剰登録

ピッチコントロール・宛先クリーニング

ー

データ漏洩

TLS・MTA-STS・S/MIME

サーバ証明書, クライアント証明書

大量通信・大量メール送受信

SMTP認証・ピッチコントロール

IP Warm-up, ピッチコントロール

メールドメイン乗っ取り

認証強化・モニタリング

2FA, ネームサーバ監視BEC（ビジネスメール詐欺）

ビジネスフロー整備・教育

出口対策, メール訓練Ⓒ 2022 TwoFive,Inc.

7メールセキュリティ問題をよく理解する
攻撃手法・リスク対策

対応技術（抜粋）

ウイルス・スパム・マルウェアの受信コンテンツフィルタ・送信元チェック

コンテンツフィルタ

フィッシング

コンテンツフィルタ・出口対策

Passive DNS, Spamhaus,
OSINT

なりすましメールの受信

DMARC・SPF・DKIM・BIMI

OpenDMARC, 他milter

ホモグラフドメイン攻撃

コンテンツフィルタ・モニタリング

Passive DNS, OSINT

EAC（アカウント不正利用）

認証強化・ピッチコントロール

2FA, 機械学習

不正転送

認証強化・ユーザ通知

2FA

RBL（ブロックリスト）への過剰登録

ピッチコントロール・宛先クリーニング

ー

データ漏洩

TLS・MTA-STS・S/MIME

サーバ証明書, クライアント証明書

大量通信・大量メール送受信

SMTP認証・ピッチコントロール

IP Warm-up, ピッチコントロール

メールドメイン乗っ取り

認証強化・モニタリング

2FA, ネームサーバ監視

BEC（ビジネスメール詐欺）

ビジネスフロー整備・教育

出口対策, メール訓練Ⓒ 2022 TwoFive,Inc.

8

いかにしてメールセキュリティ問題をとくか■ まずは メールセキュリティ問題 をよく理解する■ 理解した上で、計画を⽴てて 実⾏ 実態調査 する■ 実態調査した結果を振り返り、次（対策の開発）につなげる

フィッシング詐欺
なりすましメールを調査Ⓒ 2022 TwoFive,Inc.

9

いかにしてメールセキュリティ問題をとくか■ まずは メールセキュリティ問題 をよく理解する■ 理解した上で、計画を⽴てて 実⾏ 実態調査 する■ 実態調査した結果を振り返り、次（対策の開発）につなげる

フィッシング詐欺
なりすましメールⒸ 2022 TwoFive,Inc.に対抗する⽅法を考える

10

フィッシング詐欺とは■ 有名ブランドを装ったメッセージでフィッシングサイトへ誘導し、認証情報・決済情報や個⼈情報を詐取する。
- ログイン画⾯や決済画⾯を装い情報を⼊⼒させる- アプリのインストールを促しマルウェア感染させる■ 詐取された情報は不正利⽤・悪⽤され⾦銭的な被害等が発⽣する。
- ID盗⽤- クレジットカード不正利⽤- 電話帳盗み出し、SMS送信Ⓒ 2022 TwoFive,Inc.

11

なりすましメールとは■ 差出⼈情報を使って他者・組織を装いメールを送信する。
- エンベロープFrom- ヘッダーFrom- 表⽰名（ディスプレイネーム）■ 個⼈向けだけでなくビジネスシーンでも悪⽤され⾦銭的な被害等が発⽣する。
- 請求書詐欺- ID盗⽤- クレジットカード不正利⽤Ⓒ 2022 TwoFive,Inc.

12

c.f. アカウント乗っ取り（ID 盗⽤）■ フィッシング詐欺やなりすましメールを悪⽤して取得した認証情報（ID やパスワード情報）で他者・組織のシステムを乗っ取る- データ漏洩- なりすましメール送信- etc■ 今回はスコープとしないⒸ 2022 TwoFive,Inc.

13

なりすましメール（DMARC/DKIM/BIMI）トレンド

DMARC

認証

ポリシー

IPアドレス(SPF)やドメイン所有者が電⼦署名(DKIM)を使って認証に失敗したメールのなりすましメールか取り扱い⽅法をどうかを認証する

受信側に宣⾔する
2016年政府サービス義務化

サーバに届いたメールの認証結果をドメイン所有者にレポート送信する

レポートⒸ 2022 TwoFive,Inc.

2017年政府ドメイン義務化
2020年6⽉ フィッシング対策協議会
フィッシングレポート2020記載

2020年7⽉ NISC
サイバーセキュリティ 2020記載
2022年8⽉ ⽇経225銘柄 (TwoFive調査)
DMARC 導⼊企業は 54.2 %15

国内企業の DMARC 導⼊状況
■ ⽇経225銘柄が所有するドメインのDMARC導⼊率は 50% を超えた
■ 2022年2〜5⽉と⽐較すると、やや伸びは⼩さいが依然として上昇傾向Ⓒ 2022 TwoFive,Inc.

引用: TwoFive 調査, https://www.twofive25.com/news/20220519_dmarc_report.html
16

国内企業の DMARC ポリシー設定状況■ ⽇経225銘柄の DMARC ポリシー設定は⽉によって変動あり■ p=quarantine, p=reject のメールドメイン数は増加傾向Ⓒ 2022 TwoFive,Inc.

引用: TwoFive 調査, https://www.twofive25.com/news/20220519_dmarc_report.html
17受信側の DMARC 対応状況
■ DMARCレポート送信サーバ・組織は 2,000 に拡⼤中
■ レポート送信数 TOP5 は Google, Microsoft, nifty, Yahoo.com, AmazonⒸ 2022 TwoFive,Inc.

DMARC/25 Analyze 調査
18受信側で観測された DMARC ポリシーの割合■ ある ISP における受信メール統計（2022年10⽉某⽇）■ 3割以上が p=quarantine または p=rejectⒸ 2022 TwoFive,Inc.

DMARC/25 Reporter 調査

19受信側で観測された DKIM 署名⽅式の割合■ 鍵⻑は 1024bit が⼤半だが 2048bit も増加傾向。
■ ハッシュは sha256 に移⾏ (sha1は⾮推奨だが残っている)- sha1は⾮推奨。

Ⓒ 2022 TwoFive,Inc.

DMARC/25 Reporter 調査

20受信側で観測された DKIM 署名検証失敗理由■ DNS 公開鍵未設定が 50% 以上- 攻撃者が “default” をセレクター指定する場合も多いと思われる(レコード不在)Ⓒ 2022 TwoFive,Inc.

DMARC/25 Reporter 調査

21

BIMI – 3つの可視化

正当性

視認性

DMARC の認証技術と送信者ブランドロゴ

詐称メールの隔離・拒否をメールアプリで表⽰

様々なプラットフォームが WG 参画
DMARC やそのポリシー強化の推進のため
BIMI 規格を策定

ドメインオーナーのロゴ画像の所有を証明

所有証明Ⓒ 2022 TwoFive,Inc.

参考: https://bimigroup.org/22

BIMI – アイコン表⽰の条件■ DMARC ポリシーは p=quarantine 以上- 組織ドメインで p=reject あるいは ( p=quarantine かつ pct=100 )- sp=none の場合は対象外■ アイコン画像は SVG フォーマット

- スクリプトを含まない画像（ SVG Tiny PS ）■ VMC (Verified Mark Certificate) の発⾏- アイコン画像を証明するため。商標登録チェックもある。
- Gmail で表⽰させるためには必要■ アイコン画像、VMC証明書の場所をBIMIレコードで宣⾔Ⓒ 2022 TwoFive,Inc.

23

BIMI – 設定⽅法
■ DNS の TXT レコード（default._bimi.example.jp）で宣⾔をする■ ロゴを出し分けるためにセレクターを指定可能（デフォルトは “default”）

v=BIMI1; l=https://example.jp/xxx.svg; a=https://example.jp/xxx.pem

バージョン

アイコンの URLVMC の URL

l=タグはa=タグはHTTPS サーバに配置Ⓒ 2022 TwoFive,Inc.

HTTPS サーバに配置
24

BIMI対応ドメイン数■ 2022年9⽉調査では、メールドメインで BIMI 対応は 2,466 ドメイン
■ VMC が設定されていたのは 578 ドメイン（⽇本では 55 ドメイン）Ⓒ 2022 TwoFive,Inc.

TwoFive 調査25

BIMI対応ドメインの例（2022年9⽉）
amazon.co.jp 他

v=BIMI1;l=https://d3frv9g52qce38.cloudfront.net/amazon_web_services_196911883.svg;
a=https://d3frv9g52qce38.cloudfront.net/amazon_web_services_196911883.pem

rakuten.co.jp 他
v=BIMI1; l=https://r.r10s.jp/com/bimi/r_crimsonred/r_crimsonred.svg;
a=https://r.r10s.jp/com/bimi/r_crimsonred/r_crimsonred_177085657.pem
disneyplus.com
v=BIMI1; l=https://d3cmxxs15s2e2m.cloudfront.net/DPlus_square_SVG_PS.svg;
a=https://d3cmxxs15s2e2m.cloudfront.net/dPlus_VMC_2021.pem
nvidia.com
v=BIMI1; l=https://www.nvidia.com/content/dam/logos/nvidia_corporation.svg;
a=https://www.nvidia.com/content/dam/logos/nvidia_corporation.pem;
mail.yahoo.co.jp

v=BIMI1; l=https://bimi.west.edge.storageyahoo.jp/yahoo_japan_corporation_224791083.svg; a=https://bimi.west.edge.storageyahoo.jp/yahoo_japan_corporation_224791083.pemⒸ 2022 TwoFive,Inc.

TwoFive 調査

26

フィッシングトレンド

調査したデータ■ フィッシング情報取得元- 取得できるところから多⾓的に取得- 先勝ちデータを利⽤
メール送信

リソース作成報告先リソース
CTサーバ
NRDマルウェア解析

ユーザ報告

ハニーポット

各種報告情報ソーシャル

フィッシングデータベースⒸ 2022 TwoFive,Inc.

28

ブランド情報■ 国税庁への攻撃が多くいまだに続いている- ８⽉から開始されている

100%
90%
80%
70%60%
50%
40%
30%
20%
10%
0%

6月

国税庁
amazonsaisonⒸ 2022 TwoFive,Inc.

7月

smbc
eki-net
amex

8月

9月

au
mitsukoshi-isetan
その他

10月

aeon
mufj
29

国税庁のフィッシングサイト■ 所得税の延滞金の支払いを催促- ⽀払いは電⼦マネー■ 特徴- 単⼀証明書で複数のサブジェクト代替名使⽤- duckdnsを利⽤- 漢字が⼀部中国語(所得稅, 滯納 etc)

Ⓒ 2022 TwoFive,Inc.

30

duckdns■ 無料のダイナミックDNSサービス- 簡易的にduckdns.org下のサブドメインが取れるのでフィッシングに利⽤される■ 6,7⽉は落ち着いて8⽉から⼤量に使⽤されている

nifty
docomoamazon
国税庁

8月Ⓒ 2022 TwoFive,Inc.

9月

10月

11月
31

Ⓒ 2022 TwoFive,Inc.

amazondocomo
nifty

11月2日

10月31日

10月29日

10月27日

10月25日

10月23日

10月21日

10月19日

10月17日

10月15日

10月13日

10月11日

10月9日

10月7日

10月5日

10月3日

10月1日

9月29日

9月27日

9月25日

9月23日

9月21日

9月19日

9月17日

9月15日

9月13日

9月11日

9月9日

9月7日

9月5日

9月3日

9月1日

8月30日

8月28日

8月26日

8月24日

8月22日

8月20日

8月18日

8月16日

8月14日

8月12日

8月10日

8月8日

duckdns⽇付毎の推移■ ブランド毎で⽇付が被っていない- 同⼀の攻撃者が他ブランドを試している︖

国税庁

32

利⽤されているホスティング事業者■ Quadranetが多い■ 8⽉からdedipathが⼤量に使われるように
100%
80%
60%
40%
20%0%
6月

dedipath.com
google.com
skb-enterprise.comⒸ 2022 TwoFive,Inc.

7月

quadranet.com
digitalocean.com
bgp.net

8月

9月

colocrossing.com
frantech.ca
その他

10月

cnservers.com
sun.net.hk

33

利⽤ホスティング事業者と攻撃ブランドの関係■ 上位5件のホスティング事業者を調査- 海外のホスティング事業者が利⽤されている- 8⽉から増えたdedipathは国税庁で利⽤されているⒸ 2022 TwoFive,Inc.

dedipath.com

quadranet.com

colocrossing.com

cnservers.com

国税庁
amazoneposcard

smbceki-net
rakutenmitsukoshi-isetanmufj
その他

aeon
saisongoogle.com

auamex34

DedipathとQuadranet■ 価格- 両⽅とも安価- 若⼲Quadranetの⽅が安そう■ ロケーション- Dedipath => アメリカ
- Quadranet => アメリカ、オランダ■ ⽀払い⽅法- Dedipath => PayPal ,Credit
Card , Alipay ,Cryptocurrency ,WebPay, Boleto , Rapi Pago , Pago
Fácil , PIX , Banco do
Brasil , Itaú , Efecty , PSE , OXXO , BCP
Peru , Interbank Peru , Red Pagos- Quadranet => Credit Card, PayPal, 電信送⾦Ⓒ 2022 TwoFive,Inc.

35

TLD情報■ duckdnsは除く■ ccTLD- ci,cn共に減少。グラフには表⽰されていないがcf, gq,cc等も減少傾向にある■ topとcomが9⽉から増加傾向にある
100%
90%
80%
70%
60%
50%
40%
30%
20%
10%
0%
6
Ⓒ 2022 TwoFive,Inc.

7

cncom

top

8

ci

shopxyz9

info

clubnet10その他

36CTサーバでの時間帯毎フィッシングサイト検知数■ 深夜帯と18〜19時に作られているものが多い■ 傾向的には深夜にサイトを作成して、次の⽇の⽇中に配布しているものが多くみられる

0Ⓒ 2022 TwoFive,Inc.

1

2

3

4

5

6

7

8

9

10 11 12 13 14 15 16 17 18 19 20 21 22 2337

フィッシングメールとフィッシングサイトの関連性

今回の仮説とアプローチ■ 攻撃者は IP を使い回しているのではないか- DMARC pass したメール発信元とフィッシングサイト IP を突合- DMARC fail したメール発信元とフィッシングサイト IP を突合■ 攻撃者は ドメイン名 を使い回しているのではないか- メールドメイン名とフィッシングサイトドメインを突合

なりすまし
メール関連データⒸ 2022 TwoFive,Inc.

突合

フィッシングサイト

⼀致するデータは関連データ

どのくらいあるか︖

39

調査するデータソース（その1）■ MX サーバに着信したメールの発信元 IP アドレスを調査- 2022年10⽉18⽇〜27⽇（10⽇間）■ DMARC/25 Reporter 対応ドメインのみ限定
Internettwofive25.com, example.jp など
SMTP

MX サーバDMARC/25Reporter

なりすまし
メール関連データ

発信元 IP アドレス
ヘッダー From ドメイン
Ⓒ 2022 TwoFive,Inc.

40

調査するデータソース（その1）■ MX サーバに着信したメールの発信元 IP アドレス・ドメインを調査- 2022年10⽉18⽇〜27⽇（10⽇間）■ DMARC/25 Reporter 対応ドメインのみ限定
取得日Ⓒ 2022 TwoFive,Inc.

発信元 IP 数

ヘッダー From ドメイン数

2022/10/18

73,11832,6652022/10/19

70,07433,1632022/10/20

71,74432,9402022/10/21

73,04432,5972022/10/22

59,391

24,4972022/10/23

52,963

21,1312022/10/24

72,50528,8722022/10/25

78,272

31,8422022/10/26

72,14832,8622022/10/27

70,05634,21541

調査するデータソース（その2）■ DMARC レポートに記載された DMARC fail な IP アドレスを調査- 2022年10⽉18⽇〜27⽇（10⽇間）■ DMARC/25 Analyze 対応ドメインのみ限定
InternetSMTP

SMTP

twofive25.com, example.jp など

MSA サーバ
（正規）
攻撃サーバ
（詐称）

なりすまし
メール関連データDMARC 集計レポートⒸ 2022 TwoFive,Inc.

DMARC/25

DMARC failAnalyze

発信元 IP アドレス42

調査するデータソース（その2）■ DMARC レポートに記載された DMARC fail な IP アドレスを調査- 2022年10⽉18⽇〜27⽇（10⽇間）■ DMARC/25 Analyze 対応ドメインのみ限定
取得日Ⓒ 2022 TwoFive,Inc.

DMARC fail な IP 数

2022/10/18

38,2742022/10/19

37,0442022/10/20

32,2432022/10/21

25,8742022/10/22

20,4232022/10/23

28,2792022/10/24

40,1002022/10/25

36,2772022/10/26

28,4802022/10/27

25,00543

IP アドレスの使い回し（堂々と名乗っている）■ 攻撃者は IP を使い回しているのではないか- DMARC pass したメール発信元とフィッシングサイト IP を突合- DMARC fail したメール発信元とフィッシングサイト IP を突合
突合

DMARC pass
した IP アドレス

フィッシングサイト

IP アドレス

僅かに確認できたがほぼ関連性はない

データソース(その1)IP アドレス(redacted)

ドメイン・URL・タイトル(redacted)

特徴

135.181.XX.XX

XXカード会員向けサービス「XX」ログイン

ドメイン名はホモグラフドメイン

176.97.XX.XX

Amazonサインイン

ドメイン名はランダムドメインⒸ 2022 TwoFive,Inc.

44

IP アドレスの使い回し（なりすましている）■ 攻撃者は IP を使い回しているのではないか- DMARC pass したメール発信元とフィッシングサイト IP を突合- DMARC fail したメール発信元とフィッシングサイト IP を突合
突合

DMARC failフィッシングサイト

した IP アドレス

IP アドレス

僅かに確認できたがほぼ関連性はない

データソース(その2)IP アドレス(redacted)

ドメイン・URL・タイトル(redacted)

特徴175.28.XX.XX「XX」のWEB申込案内

TLD は .xyz

175.28.XX.XX「XX」のWEB申込案内

TLD は .xyz

Ⓒ 2022 TwoFive,Inc.

45

ドメイン名の使い回し■ 攻撃者は ドメイン名 を使い回しているのではないか- メールドメインとフィッシングサイトドメインを突合

突合
メールドメイン名

フィッシングサイト
ドメイン名

データソース(その1)ドメイン名はメールとWebとで使い回す場合もある

IP アドレス(redacted)

ドメイン・URL・タイトル(redacted)

特徴

154.209.XX.XX

XXパーソナルID | ケーブルテレビ（CATV）のXX

ドメイン名はホモグラフドメイン

34.84.XX.XX

Amazonサインイン

ドメイン名はランダムドメインⒸ 2022 TwoFive,Inc.

46

今回の仮説とその評価■ 攻撃者は IP を使い回しているのではないか- DMARC pass したメール発信元とフィッシングサイト IP を突合- DMARC fail したメール発信元とフィッシングサイト IP を突合■ 攻撃者は ドメイン名 を使い回しているのではないか- メールドメイン名とフィッシングサイトドメインを突合

攻撃メール / フィッシングサイトの IP は別物の場合が多い
ドメイン名（ホモグラフ・ランダム・スクワッティング）は流⽤︖Ⓒ 2022 TwoFive,Inc.

47

まとめ・今後の対策を考える今後も重要なのはさまざまなデータ■ OSINT だけでなくエンドユーザ報告情報もメール/SMS送信

リソース作成

報告先

リソース
CTサーバ
NRD
マルウェア解析

ユーザ報告

ハニーポット

各種報告情報ソーシャル

フィッシング情報Ⓒ 2022 TwoFive,Inc.

49

攻撃者のアクションに合わせた対策■ ドメイン取得時やユーザアクセス環境でのレピュテーション- レジストラでのドメイン（Cert）取得時- 中間者攻撃への対応

メール/SMS送信

リソース作成

ユーザ報告
報告先

リソース

ドメイン名レピュテーション
悪⽤IP

フィッシング情報Ⓒ 2022 TwoFive,Inc.

50

c.f. 事業者向けデータフィード■ データフィードの活⽤- サインインシステムでの IP アドレスブロッキング- ドメイン取得時の IP アドレスブロッキング- etc詐欺サイト

正規サイト

被害ユーザ

正規ユーザ

Ⓒ 2022 TwoFive,Inc.

51

攻撃者のアクションに合わせた対策■ フィルタリング & レポーティング（サーバ側）- ドメイン認証（なりすまし対策）- ドメインレピュテーション（NRD / ZRD のペナルティ）
メール/SMS送信

リソース作成

ユーザ報告
報告先

リソース

DMARC認証結果
IP/ドメインetc

フィッシング情報Ⓒ 2022 TwoFive,Inc.

52

c.f. サーバサイドフィルタリング（DMARC/25）■ フィルタリング機能- DMARC 結果に応じた隔離・拒否- BIMI ドメインの評価- ドメインレピュテーション■ レポーティング機能- 集計レポート- 失敗レポート（※）- 迷惑メール通報データ（※）Ⓒ 2022 TwoFive,Inc.

53

攻撃者のアクションに合わせた対策■ フィルタリング & レポーティング（アプリ側）- 迷惑メッセージの拒否- エンドユーザーからの報告/通報データの利活⽤

メール/SMS送信

リソース作成

ユーザ報告
報告先

リソース

迷惑メッセージ
迷惑電話
etc

フィッシング情報Ⓒ 2022 TwoFive,Inc.

54

c.f. SMSフィルタリング（BLOCKER/25）■ フィルタリング機能- 未登録番号 / 未返信の SMS- 通報データベースの活⽤ブロック■ レポーティング機能- 迷惑メッセージの通報- 救済リストⒸ 2022 TwoFive,Inc.

55

質疑応答
ご質問ありませんかThanks