第92回CSEC合同研究発表会-情報処理学会,2021年3⽉15⽇

フィッシング詐欺のビジネスプロセス分類
フィッシング対策協議会 学術連携プロジェクト

林憲明, 唐沢勇輔, 中村智史, 坂本美⼦,
柘植悠孝, 岡⽥雅之, 加藤雅彦

研究背景︓根本的な対策に⾄っていない
拡⼤を続けるフィッシング詐欺被害

誘導⼿段
犯罪者

l フィッシングサイトの件数

全世界で162,155件観測, 前年⽐17%増*1

l 利⽤者情報の違法取引が拡⼤

被害者

PhishingKit
キャッシュアウト

闇市場で最も活性な商品は盗難アカウント
600フォーラムで4,954,825スレッドを観測*2l 合理的かつ効率的な利益追求

SMS

サービス, 配信, マネタイズ 役割の分業, 複雑化

ホスティング模倣サイト・偽アプリ
.COM

闇市場

ドメイン
レジストラ

フィッシング詐欺の全体的なプロセス理解が必要不可⽋
2*1 “Phishing Activity Trends Report, 4th Quarter 2019”. https://docs.apwg.org/reports/apwg_trends_report_q4_2019.pdf*2 ”Shifts in Underground Markets”. https://documents.trendmicro.com/assets/white_papers/wp-shifts-in-the-underground.pdf

先⾏研究における課題
根本的な対策に資する提案が必要
l 分類法の検討

電⼦メール*1, フィッシングURL*2l 観測結果に基づく体系化

フィッシング詐欺の歴史・動機*3
犯罪利⽤されたインフラの調査*4
詐取情報の取引市場の調査*5

l 未解決な課題

包括的な全体像の提供に⾄っていない
フィッシング詐欺全体における進⾏段階を捉えていない実例との照らし合わせによる検証が⾏われていないプロセスを俯瞰し, 進⾏段階の特定を実現. 仮説の検証を実施.
3*1 "E-mail-Based Phishing Attack Taxonomy”. https://www.mdpi.com/2076- 3417/10/7/2363/pdf*2 “Inside a Phisher’s Mind: Understanding the Anti-phishing Ecosystem Through Phishing Kit Analysis”. https://docs.apwg.org/ecrimeresearch/2018/5349207.pdf*3 “Defending against Phishing Attacks: Taxonomy of Methods, Current Issues and Future Directions”. https://www.researchgate.net/publication/317044956_Defending_a gainst_Phishing_Attacks_Taxonomy_of_Methods_Current_Issues_ and_ Future_Directions*4 “Learning More about the Underground Economy: A Case-Study of Keyloggers and Dropzones” . https://www.researchgate.net/publication/220270794_Learning_M ore _about_the_Underground_Economy_A_Case*5 “The Economy of Phishing: A Survey of the Operations of the Phishing Market”. https://www.cloudmark.com/releases/docs/the_economy_of_phishing.pdf

研究⽬的︓ビジネスプロセスで分類
犯罪者は効率的に利益を得るために様々な⼿法を組み合わせる
インプットをプロセスアクティビティにて処理し, アウトプットに変換する活動. ISO 15288:2015
コンセプト

開発

インプット

製造

運⽤

保守

破棄
アウトプット

図: ⼀般的なシステムライフサイクルフェーズ

フィッシング詐欺をビジネスとして捉える. 6つの活動を定義
計画
インプット

調達

構築

誘導

図: フィッシング詐欺ビジネスプロセス

詐取収益化
アウトプットフィッシング詐欺ビジネスプロセスの提案. 共通ルールで分析
4

研究⽅法︓ケーススタディ
フィッシング詐欺ビジネスプロセスを2つの実例に対し照合
l 事例1: 16Shop フィッシングキット

同⼀の「Phishing as a Service (PHaaS)」供給・需要者による変遷に注⽬

l 事例2: LINEを騙るフィッシング詐欺
同⼀の「標的」を狙う詐欺者の変遷に注⽬
16Shop事例分析LINE事例分析

観測期間2018年7⽉ – 2018年8⽉

2016年10⽉ – 2020年5⽉

調査対象数

115 URLs （無作為に抽出）

1,025 URLs

TLD

22 件

14件

AS番号39 件

51件

5※件数はすべて重複を除く、ユニーク件数

研究結果: 計画
計画

調達

構築

16Shop事例分析
PHaaSの供給者と需要者

l

誘導

標的に応じたカスタマイズ標的（⽇本⼈, 偽装サービス）に応じたPHaaSのカスタマイズを観測.
成功経験をもとに標的が拡張.

観測から標的が読み取れる
6

収益化

LINE事例分析l

供給者はインドネシア語の話者.
l

詐取

公表値から利⽤者数を考察

⽇本の⼈⼝の65%がLINEを利⽤.
l

無差別なアカウント収集

試⾏回数を増やし続けられる.
予測メリットを⾼めることが可能.

狙われた理由が読み取れる

研究結果: 調達
計画

調達

構築

16Shop事例分析
サイトのホスティング先l

維持費を重視した選択を観測.

誘導

配信サービスのユーザーグループによる⽀援体制を観測.

収益化

LINE事例分析
ll

サイトのホスティング先
特定のOSSを利⽤帰属に繋がる偏りのある傾向を観測.

誘導⼿段（メール配信）

l詐取

l

誘導URL

取得から展開までの期間を観測.
⽂字列に規則性を観測.

反復作業の効率化, コスト削減を重視した調達が読み取れる
7

研究結果: 構築
計画

調達

構築

16Shop事例分析
犯罪者の技術習熟度

lPHaaSの構築は簡単.
ディレクトリ横断可能な設定不備を複数観測.
需⽤者の技術習熟度は必ずしも⾼くない.

誘導詐取

収益化

LINE事例分析l

作業期間の特定Webアプリケーションの展開からコンテンツの配置までの空⽩時間を観測.

犯罪者の技術習熟度を把握. 調達から構築までの期間を特定.
8

研究結果: 誘導計画

調達

構築

16Shop事例分析
フィッシングメール上の⼯夫

lToヘッダの表⽰名にブランド/サー
ビス名とアクションを求める動詞（確認, 通知）.
本⽂に宛先毎の最適化策.
「親愛なる %メールアドレス%」

誘導詐取

収益化

LINE事例分析l

分業体制を⽰す痕跡Web Apps停⽌後もメール配信継続.
lLINE機能による誘導

トークまたはタイムライン機能を使ってURLの拡散を確認.

利⽤者の合理的な思考プロセスを出し抜く⽂⾯と経路を確認.
9研究結果: 詐取
計画

調達

構築

16Shop事例分析
詐取の標的

l

誘導

被害認知に⾄るまでの引き延ばし⼯作

2度⽬以降の接続を試みた場合, 正規サイトへの転送.

収益化

LINE事例分析l

⽒名, 住所, メールアドレス, パス
ワード, クレジットカード情報
l

詐取

詐取の標的

メールアドレス, パスワード, 電話番号, 電話番号に届く認証番号l

被害認知に⾄るまでの引き延ばし⼯作

被害者に対して待機を促すメッセー
ジ表⽰（処理中と誤認させる）.

フォーム模写のみならず, クローキング/意図的な遅延処理を確認
10

研究結果: 収益化
計画

調達

構築

16Shop事例分析
PHaaS供給者の収益化

l誘導

PHaaS需⽤者の収益化

資格情報を利⽤した⾦銭詐取またはID等の転売.

収益化

LINE事例分析l

利⽤料収⼊, オプション機能の提供により継続利⽤を促す.
l

詐取

⾦銭情報を盗む⾏動

被害者へ接触し電⼦マネーの購⼊依頼, 秘密情報の提供を要求.
l

LINEアカウント情報の更なる取得

詐取に成功したアカウントを踏み台とした誘導メッセージの配信.

盗んだ情報の転売の他, 犯罪の強化・拡⼤を狙う傾向を確認
11

考察
プロセスの体系的な理解により, 各段階の主要因⼦を特定
フィッシング詐欺
ビジネスプロセス

16Shop事例分析により判明した因⼦

計画

動機, 機会, 標的, 詐欺の開始時期, 詐取 動機, 機会, 標的, 誘導試⾏回数の期待値,詐取を狙うeKYCを狙うeKYC

調達

調達先の傾向, 調達サービスを⽀えるコ 調達先の傾向
ミュニティ

構築
誘導
詐取
収益化

LINE事例分析により判明した因⼦

技術習熟度, 帰属情報

構築期間, 設置のタイミング

疑念払拭の⼿法, 作業品質疑念払拭の⼿法, 作業品質

被害認知に⾄るまでの引き延ばし⼯作

被害認知に⾄るまでの引き延ばし⼯作

換⾦対象, ⼆次被害

換⾦対象

主要因⼦の観測により進⾏段階の特定, 脅威予測/対策を⽀援する
12※補⾜ ⽔⾊の表記はどちらか⼀⽅の事例のみで判明した因⼦

結論
フィッシング詐欺をビジネスと捉えることは妥当であり有効l 提案プロセスの妥当性

2つの実例検証の結果, いずれにおいても「計画」「調達」「構築」「誘導」「詐取」「収益化」までの存在を確認

l 提案プロセスの有効性

1. 被害が発⽣する前より疑わしき活動を定義することが可能
2. 犯罪者による準備⾏為を認知した際にその内容を精査することでフィッシン
グに関連した活動であるかどうかを推察可能

プロセスを俯瞰し, 進⾏段階の特定を実現. 仮説の検証を実施.
13