フィッシング詐欺のビジネスプロセス分類
林 憲明 1

唐沢 勇輔 2 中村智史 3 坂本美子 4
加藤雅彦 7

柘植 悠孝 5

岡田雅之 6

概要：フィッシング詐欺とは，ソーシャルエンジニアリングとクレデンシャル窃盗を組み合わせたオンライン詐欺の一つである．フィッシング詐欺には，ウェブサイトを模倣したもの，偽のアプリを利用したもの，電子メールやテキストメッセージ，音声メッセージを利用したものなど，様々な種類がある．このため，これら様々なタイプのフィッ
シング詐欺に対抗可能な本質的な方法は未だ確立されていないのが現状である．従って，効率的な対策方法を特定するために，フィッシング詐欺の全体像を把握することが不可欠である．本稿では，フィッシング詐欺をビジネスであると定義し，その営利活動におけるプロセスを分類することを試みる．その手法として，2 つの事例分析を実施した．
その結果，提案手法が実際のフィッシング詐欺を特定するためのプロセスとして適用可能であることを確認した．提案手法を用いることで，フィッシング詐欺におけるプロセスを体系的に理解し，フィッシング詐欺の脅威を予測する
ことが容易になった．
キーワード：フィッシング，詐欺，サイバー犯罪，サイバーセキュリティ，ビジネスプロセス分析，ダークマーケッ
トBusiness process classification of a phishing scam
Noriaki Hayashi†1 Yusuke Karasawa†2 Tomofumi Nakamura†3 Yoshiko
Sakamoto†4 Yutaka Tsuge†5 Masayuki Okada†6 Masahiko KatoA†7
Abstract: Phishing, which combines social engineering and credential theft, is one of the most widespread online scams. There ismany of types to undertake a phishing scam such as mimicking web sites, using fake apps and phishing via email, text message or
voice messages. Because of this, we still don’t find the essential way to stop against those various type of fishing attacks. In order
to find the efficient way of countermeasure, it is necessary to determine an overall picture of phishing scams. We consider phishinga kind of business and attempt to classify the processes used. By conducting two case studies, we confirm that our proposed method
is an applicable process for identifying actual phishing campaigns. The proposed method makes it easier to systematicallyunderstand the phishing process and predict the threat of a phishing scam.
Keywords: phishing, fraud, cybercrime, cybersecurity, business process analysis, dark market

1. はじめにューション実装や，提案が行われている [5 ．近年のフィッ
シング詐欺は，様々な犯罪者とプロセスが絡み合って成立

オンラインサービスを利用する消費者の増加 [1 に伴している．Web サイトを模倣するもの，偽アプリを利用すい，フィッシング詐欺と呼ばれるオンライン詐欺の種類がるもの，偽の電子メールやテキストメッセージを送信する

増加している．フィッシング詐欺は，最も普及しているオなどの手法が用いられている．フィッシング詐欺に関するンライン詐欺の 1 つで，ソーシャルエンジニアリング [2研究では，対策を論考するものは存在するが，フィッシンとクレデンシャル盗難を組み合わせたものである．

グ詐欺そのもののプロセスを体系的に整理した研究は少な

犯罪者は，フィッシング詐欺で集めた資格情報を転売すい．よって，研究はまだ抜本的な対策に至っていない．よることで収益を得ている．Anti-Phishing Working Group により効果的な対策を検討するにあたり，まずフィッシング詐れば，2019 年に世界で 162,155 件のフィッシングサイトが欺の全体的なプロセスを理解することが必要不可欠である．

観測され，前年比 17%の増加が確認されている [3 ．また，

本稿では，第 2 章で先行研究について説明し，第 3 章で数百万ドル相当のユーザー名やユーザー情報が闇市場で販は我々が提案するフィッシング詐欺ビジネスプロセスの詳

売されており，クレデンシャルの違法な売買が拡大してい細を説明する．そして，第 4 章では 2 つのケーススタディ

ることが報告されている [4 ．この問題に対し，複数のソリを通じて提案プロセスの妥当性を実証する．第 5 章では提1 トレンドマイクロ(株)Trend Micro Incorporated
2 Japan Digital Design(株)Japan Digital Design, Inc.
3 LINE(株)LINE Corporation
4 (株)日立システムズ
Hitachi Systems, Ltd.

5 トビラシステムズ(株)Tobila Systems Inc.
6 長崎県立大学
University of Nagasaki
7 長崎県立大学
University of Nagasaki

案された方法論を議論し，第 6 章で結論を述べる．

し，アウトプットに変換する活動」と定義している．本稿で は ， フ ィ ッ シ ン グ 詐 欺 を ビ ジ ネ ス と し て 捉 え ， ISO

2. 先行研究
提案するフィッシング詐欺ビジネスプロセスと既存の分析との違いを明確にするために，以下の先行研究を確認

15288:2015 に基づいたフィッシング詐欺ビジネスプロセスを提案する．フィッシング詐欺を「計画」「調達」「構築」「誘導」「詐取」「収益化」の 6 つの活動で定義し（図 1），
3.1 より，各活動について説明する．

した．
フィッシング詐欺の分類法について，Rastenis らは電子メールの分類法を提案し [6 ，Gupta らはフィッシング詐欺の歴史と攻撃者の動機に基づく分類法を提案した [7 ．
PLANING

Oest らは，フィッシング詐欺における URL の種類と侵害

PROCUREMENTCONSTRUC
TION

LEAD

THEFT

MONETIZA
TIONZ

されたインフラの利用との間に相関関係があることを明らかにし，フィッシング URL の分類法を提案している [8 ．
Abad らは，フィッシングネットワークとインフラの調査分
図 1析に基づき，フィッシング詐欺の手法と使用されたインフ

本稿でのフィッシング詐欺ビジネスプロセス
Figure 1ラとの関係を記述している．しかし，捕捉された情報がど

Our phishing business processes.

のように扱われるかは考慮していない [9 ．その代わりに，
彼らは特定のフィッシング詐欺に焦点を当てていた．これ

3.1 計画に対して，Holz ら[4 は，盗まれたデジタル認証情報を取引

この活動は，対象となる組織の選定，組織の調査など，する地下経済を研究することで，攻撃者の動機と地下市場

フィッシング詐欺の計画を立てるために行われる．犯罪者の性質について提案した．しかし，この研究は，前述の文は計画に基づき，次の行動に移す．

献と同様にフィッシング詐欺の包括的な全体像を提供する
ものではない．前述の研究は，研究者が確認できたフィッ

3.2 調達シング詐欺の現象を要約したものである．したがって，フこの活動は，フィッシング詐欺を行うために必要なツーィッシング詐欺が全体における，どの段階まで進行していルや情報を調達するために行われる．計画段階で決めた標

るのかを捉えることはできず，これらの研究から効率的な的組織や利用者に応じて，必要なアイテムを闇市場や一般

フィッシング対策を見いだすことは困難である．

市場から調達を行う．まれに，犯罪者が自らアイテムを開Pienta らは，フィッシングプロセスを明らかにするため発する場合もあり，その際には以下のいずれか，または複にエコシステムの考え方を提唱した [5 ．この研究では，フ数のアイテムが含まれる．

ィッシング詐欺の経済的な目的，侵入前・侵入中・侵入後⚫

Phishing Kit の購入の攻撃サイクルを俯瞰し，本稿と同様の仮説を提示してい⚫

サーバ証明書の取得る．しかし，本稿では「フィッシング詐欺のビジネスプロ⚫

ドメインの取得

セス」の仮説を立てるだけでなく，実例と照らし合わせて⚫

企業ブランドロゴやデータの取得検証も行っている．これにより，本稿は，全体像をより明⚫

防弾サーバの準備

確にし，フィッシング詐欺に対する根本的な対策に資する⚫

ホスティングサーバの準備

提案ができると考える．

⚫

フィッシングメールの送信先一覧の取得⚫

偽スマホアプリの入手

3. フィッシング詐欺ビジネスプロセス

3.3 構築この活動は，フィッシング詐欺に必要なシステムを構築

フィッシング詐欺の最終的な目的は，利益を得ることである．サイバー犯罪者は，効率的に利益を得るために様々するために行われる．以下のいずれかの行為を含む．

な手法を組み合わせ，ビジネスを行っていると概念化する⚫

フィッシング詐欺サイトの構築ことができる．その手法としては，多くの人を騙して情報⚫

正規サイトに侵入しフィッシング詐欺サイトを構築を入手したり，貴重な情報を入手したりすることが挙げら⚫

詐取した ID などのデータを送信するサーバを準備れる．フィッシング詐欺の手法は様々存在するため，一連Paganini [11 は Phishing Kit の利用方法が説明されており，の流れをビジネスプロセスとして整理し，一つのルールでNewell [12 は Facebook のフィッシング詐欺サイトの構築方分析できるようにしている．ISO 15288:2015 [10 では，プ法を解説している．

ロセスを「インプットをプロセスアクティビティにて処理

3.4 誘導一旦，収益化のステップが成功すると，犯罪者はそのフ

この活動は，犯罪者が利用者へ状況に対する疑念を抱かィッシング詐欺の強化・拡大を狙う場合がある．改めて計れることなく，資格情報を入力させるフォームへと誘導す画，標的の拡大を練り，同時に監視回避，対策ベンダーなるために行われる．

どによる調査の妨害などの巧妙化策が講じられることがあ

疑念を払拭する手段として，経路と文面が組み合わせられている．経路として，次の項目があげられる．
⚫

電子メール

⚫

SMS，テキストメッセージ⚫

検索エンジンポイズニング（SEO ポイズニング）⚫

中間者攻撃などを利用した通信経路の汚染⚫

偽アプリのインストール

る．こうした対策を回避しようとする試みは，犯罪者の経験値が増えるにつれ，フィッシング詐欺ビジネスプロセスにおける計画活動に組み込まれる．

4. ケーススタディ
本稿では，2 つのフィッシング詐欺に関する実例につい⚫

類似ドメイン，酷似文字を使用したホモグラフ攻撃て検討を試みている．事例 1 においては，同一の PhaaS 提⚫

短縮 URL

供者による変遷に注目する．事例 2 においては，同一の標⚫

QR コード的を狙う詐欺師の変遷に注目する．それぞれの実例に対し，
フィッシング詐欺ビジネスプロセスを適用し，フィッシン

いずれも，攻撃を受ける側の何らかの行動によって誘導

グ詐欺に対する全体像が明確となることを示す．

が行われている．
また，文面においては，利用者による合理的な思考プロ
セスを出し抜く工夫が施される．

4.1 事例 1: 16Shop フィッシングキット
一連のフィッシング詐欺で犯罪者が使用しているスキ

Cialdini[13 は，人間の行動は基本的な心理学的原則に支ームを論じるため，2018 年 7 月から観測されている 16Shop

配されており，次の 6 つの原則を利用すれば，相手から承フィッシングキット流通網によるキャンペーンをケースス

諾や情報などを簡単に得ることができることを示している．

タディとして使用する．16Shop は分業体制によって広範囲

1.

consistency（一貫性）に展開されているフィッシング詐欺である．従って，我々

2.

reciprocation（返報性）の提案が有効かどうかを確認するには最適なケーススタデ

3.

social proof（社会的証明）

ィの一つであると考える．

4.

authority（権威）5.

liking（好意）6.

scarcity（希少性）(1) 計画
16Shop において，二種類の犯罪者によって計画が企てられている．一つ目は一連の犯罪基盤となる 16Shop の供給

フィッシング詐欺の文面においても 6 つの原則に関する特徴をみることができる．

者，二つ目はその犯罪基盤を利用し正当なサービスの利用者から ID やパスワードなど，アカウント情報を集め何らかの手段により換金を試みる需用者である．

3.5 詐取この活動は，ID やパスワード，二要素認証などの認証情報を提供するように利用者を騙すために行われる．

(a) 犯罪基盤 16Shop「供給者」と計画の推定「16shop-apple-v1.8.1」に残された「credit.txt」には，

例えば，Office 365 を騙ったフィッシング詐欺の場合，誘“Quote of the day:”のインドネシア語の記述が確認された．

導先のフィッシング詐欺サイトは正規のログインフォーム

これらより，16Shop の開発者はインドネシア語の話者でを模している．このため，利用者は疑念を抱くことなく，ある「Riswanda/devilscream」（以下，Riswanda）と推定さ要求されたメールアドレスやパスワードの入力が行われる．

れている．McAfee Labs[14 によれば，2017 年末，Riswanda
は Facebook グループを立ち上げ，Apple をターゲットに

3.6 収益化
この活動は，犯罪者が盗みだした情報を基に金銭的な利益を得るために行われる．具体的には，以下の方法で収益した 16Shop のライセンスやサポートの提供を開始した．
このことから，犯罪基盤の供給者による計画とその時期を推定することができる．

化を行う．
⚫

ボーナスポイントやマイルを利用し別の商品を入手して転売する(b) 犯罪基盤 16Shop 「需用者」と計画の推定
我々はフィッシングメールに含まれるフィッシングサ⚫

盗んだ情報を転売する

イトの URL について解析を行った．その結果，Punycode⚫

ID 不正利用により別口座に現金を振り込む（RFC 3492）により，「xn--id-zb4axila5esc1e1f9bvhzd4a6fe」

（アップルジャパンのログイン ID）を表示する事例を確認した．このほかにも，日本語を含む事例を複数確認している．また，McAfee Labs によれば，16Shop フィッシング

まず，トップレベルドメイン（TLD）を分析した．その結果，“.com”が 66 件と全体の 57.4％を占めていた．

キャンペーンにおける最頻国が日本であったと報告して多くの 16Shop 需用者は，“.com”ドメインまたは genericいる．このことから，犯罪基盤の需用者による計画においTLD を調達していた．しかし，少数ではあるが new genericて選定された標的を推定することができる．

top-level domains（nTLD）が調達された．その背景として，日本を標的としている場合，“.jp” や “.tokyo” を調達する(2) 調達ことで，地理的表示に基づく信頼の誤認を狙っている可能

16Shop において調達とは，16Shop の供給者や需用者が，性が推定できる．また，“.business” や “.support” は，正規

その計画に基づき，必要なツールやサービス，金銭や労働サービスとの混同を生じさせる効果を期待していると推定力を手配することである．本稿では，ツールやサービスにできる．

注目し，その分析を行った．

次に，IP アドレスから経路広告された Autonomous System
Number（AS）番号を分析した．その結果，AS14061 が 26(a) バックエンドホスト

16Shop 需用者においても，AS14061 からの調達が最も顕罪者自らがホスティングサービスと契約すること．二つ著 で あっ た ． ド メ イ ンの 50 ％が AS14061 ， AS46606 ，目は，正規のサイトを侵害し，そこへ自らのコンテンツ

AS15169 の TOP3 サービスプロバイダによって占められてを蔵置することである．いずれの場合においても，フィいた．

ッシング詐欺サイトのコンテンツはホスティング会社
によって撤去される可能性がある．
⚫

件（21.7％）を占めていた．

ホストの手配手段は主に二通りである．一つ目は，犯

16Shop ライセンス管理サーバのホスティング先一連の調査から PhaaS の供給者，需用者によるホストの調達先は類似傾向にあるといえる．
(b) フィッシングメール配信基盤

16Shop では，16Shop を設置したサイトのトップページ

16Shop 基盤を利用したフィッシング詐欺サイトへ誘にアクセスすると，ライセンス管理サーバに対し鍵情報が導するフィッシングメールのメッセージヘッダーにつ送信され，キットの利用許諾状況が確認される．そこで，

い て 分 析 し た ． 結 果 と し て ， “X-Sender: Sendinbox

ライセンス管理サーバのドメイン名を特定し，16Shop 供給

Professional”[16 を含む事例を確認した．また，Sendinbox

者によって調達されたホストを分析した．

の GitHub リポジトリや Sendinbox の流出ソースコード

いずれのサーバも DigitalOcean, LLC（AS14061）による運用であった．DigitalOcean は，他のクラウドサービスと比較した場合，月額の運用コストが最も低かった [15 ．

[17 などのアーティファクトも確認した．
Sendinbox の流出ソースコードにはコメント “Author.
Eka Syahwan” の記載が含まれていた．Eka Syahwan は，
マ ス メ ー ラ ー 購 入 者 向 け の コ ミ ュ ニ テ ィ⚫

16Shop Admin パネルのホスティング先“bmarket[. or[. id”（インドネシア，AS58477，TLS：Let's

16Shop 需用者は，用意したホストに対してキットを設置

Encrypt Authority X3）と中継サーバを提供していたことする．設置ホスト上の“/admin” ディレクトリに 16Shopを確認した．BMarket コミュニティが，フィッシング詐

Admin パネルの存在を確認することができる（図 2）．

欺ビジネスを実現するための調達市場の役割を担って我々は，120 件のユニークな 16Shop Admin パネルの URLいると考える．

を対象に分析を行った．
(3) 構築16Shop において構築とは，16Shop の需用者が，供給者からから受け取ったキットをホスティングサービスへ展開し，設定ファイルにライセンス情報と利用者個別のパラメータを設定することである．
PHaaS として提供されている 16Shop の構築は簡易である．簡易であるゆえに，上位ディレクトリへ横断可能なケースなど設定上の不備がみられるフィッシング詐欺サイトも複数確認されている．このことから，16Shop 需用者につ
図 2

16Shop Admin パネル

Figure 2

16Shop admin panel.

いて構築状況から技術習熟度が，設定値から帰属情報を推定することができる．

(b) 16Shop 需用者の収益化(4) 誘導(a) フィッシングメール上の工夫
To ヘ ッ ダ に お け る 表 示 名 と し て ， ブ ラ ン ド 名（Apple.com）やサービス名の文字列とともに，受信者に対してアクションを求める動詞（確認，通知）を組み合

16Shop 需用者は，16shop フィッシングキットを介して資格情報を収集し，その資格情報を使用した金銭詐取またはデジタルアイデンティティそのものを販売することで，収益化が可能となる．
日本サイバー犯罪対策センター（JC3）の調査 [18 によわせた事例を確認した．

れば，窃取したクレジットカード情報を利用し，旅行サー

また，本文中に「親愛なる %宛先メールアドレス%」のビス（宿泊施設，航空券，テーマパークのチケットなど）記述が見られるケースを確認している．これは宛先毎のの不正転売に利用されている．商品を仕入れることなく先最適化策とみられるが，本文の他の箇所においては宛先に出品し転売することが可能であるため，在庫リスクのなを特定する記述は確認できない．

いビジネス展開が可能である．

フィッシングメールの宛先は不特定である．特定の組織

次に，デジタルアイデンティティを商品として販売するを狙う傾向はみられなかった．差出人のドメインには例を検討する．Top10VPN [19 の調査によれば，3 つのダ「secure-appstore」文字列を含むケースを確認している．

ークマーケットプレイス（Dream，Point，Wall Street Market）

この点より，一連のフィッシングキャンペーンを実施すにおけるアカウントの平均販売価格は，Apple ID が 15 ドるために用意したアカウントからの送信と推定する．

ル，クレジットカード情報が 50 ドルであった．
また，16Shop 需用者による直接販売の例として，「カー(5) 詐欺16Shop におけるフィッシングサイトでは，画像や CSS ページなど，元の Web サイトのリソースの一部を利用している．
被害者の接続環境に応じた言語表示を行う工夫を確認した．
また，同一フィッシングサイトへ 2 度目以降の接続を試みた場合，正規の Apple 社ウェブサイトへ転送する仕掛け

ディングフォーラム」（クレジットカード情報やログイン情報の売買を行うオンラインフォーラム）での売買を依頼した[20 ．
「16Shop Apple Scam」から入手したデータを要求する投稿も確認している．
16Shop はカーディングフォーラムで一定の知名度と信頼を得ているが，直販モデルによるデジタルアイデンティ
ティの販売は成約率が低いと考えられる [21 [22 ．

も確認した．
4.2 事例 2: LINE を騙るフィッシング詐欺(6) 収益化

一連のフィッシング詐欺で同一の標的を狙う犯罪者の

16Shop において収益化とは，犯罪者の立場によって収益

アクティビティを論じるため，2016 年 10 月より観測を継を得るための仕組みは大きく異なる．そこで本稿では，犯続している LINE を騙るフィッシング詐欺をケーススタデ

罪インフラである 16Shop 供給者とその需用者について区ィとして使用する．

分して検討する．
LINE は，LINE 株式会社が提供するコミュニケーション(a) 16Shop 供給者の収益化

アプリ [23 ．その基本機能は，無料の音声/ビデオ通話/チ

16Shop は SaaS モデルを採用し，購入することで利用すャットである．

ることができる．つまり，ユーザーは 16Shop を利用する期間を選択し，料金を支払い，機能の提供を受ける．

LINE を騙るフィッシング詐欺とは，コミュニケーショ
ンアプリ LINE のアカウントを盗む目的で Web アプリを

16Shop 供給者による囲い込み戦略として，継続的な機構築し，標的を URL に誘導し，盗んだアカウントを使って能強化を確認した．手法としては，標的ブランドの拡張，金銭を要求する，これら一連の行為とする．そこで，一連検出迂回機能，リアルタイムで更新されるダッシュボードの LINE を騙るフィッシング詐欺に対して本プロセスの適による統計機能などがあげられる．

用を試みる．なお本稿では，日本国内の LINE アカウント

また，これらの機能を階層化し，機能ごとに課金額を変保有者を標的としたフィッシング詐欺のみを対象とする．

更する仕組みが実装されている．このような戦略により，
16Shop 供給者は需用者の利用状況に合わせた機能や料金プランを提供することで，需用者が 16Shop を継続して利用し，利益を得られるようにしている．

(1) 計画(a) LINE 利用者を標的とする動機LINE 利用者の状況を LINE 株式会社が公表する資料[24 [25 より分析した．2020 年 4 月末時点での公表値を整理した結果，次の特徴を得た．月間アクティブユーザー

（MAU）の規模は約 8300 万人で，日本の人口の 65％に相年 5 月までは「.com」が最も高くなっていた．

当した．日本市場に限定すれば，属性を問わず大多数の人が毎日利用しており，日常的に利用されているサービスと(c) ホスティング

いえる．

我々は Web アプリケーションがインストールされてい試行回数を増やし続けられる標的は犯罪の成功確率をるホスティングサーバを分析した．IP アドレスからの逆引

高め，犯罪者にとって成功時の予測メリット（予測獲得利きにより，51 種類の ASN と Org-name を収集した（図 16

益×予測成功確率）を高めることができる．

参照）．上位 3 件は AS135544（286 件 28%），XUANKANG

標的ブランドとしての LINE は利用者への誘導を大量にINTERNATIONAL CO. LIMITED（201 件 20%），AS55933

仕掛けることが可能である．従って，犯罪者が無差別なア（85 件 8%）であった．なお IP アドレスの記録漏れが 9 件

カウント情報の収集を狙っている場合，LINE 利用者を標ある．このうち，CLOUDFLARENET は CDN（コンテンツ

的とすることは予測成功確率の観点から合理的な選択であデリバリーネットワーク）を利用している．他に CDN を利るといえる．

用している例は確認されておらず，その他のケースでは，フィッシングサイトがレンタルサーバー上で直接ホストさ(2) 調達

れていた．

LINE 事例における調達では，フィッシング詐欺師による Web アプリケーション，URL，ホスティングの調達に注(3) 構築
URL とインフラを利用した Web サービスを構築したの目し，その分析を行った．

は，誘導メールを送信した前日からその日の午前中までで(a) Web アプリケーション

あった．この場合，ホスティング Web サービスの初期設定

Web アプリケーションの基本機能は一貫している．ユーでみられるページで応答する．誘導メールを送信した日のザーインターフェース（UI）は正規の LINE に実装されて午前に Web アプリケーションが設置されていた．Web アプ

いる認証画面を模倣しているが，UI を構成する画像ファイ

リケーションの設置環境下には認証機能付きページがあり，

ルや JavaScript，CSS を直接参照しているわけではない．

Web アプリケーションが起動した状態でブラウザからの操2016 年 10 月以降，正規の LINE のデザインや仕様の変作が可能であることを示している．
Web アプリケーションのインストール後，これまで Web

更を追随するように修正が続けられている．
Web アプリケーションは，ThinkPHP [32 [33 を使用してサービスでは見られなかった動作であるフィッシング対策開発されている．ThinkPHP は中華人民共和国で普及していのためのアクセス制御を確認した．確認された具体例としる．また，フレームワークに依存しない実装部分に残されて，クラウド型ファイアウォールによる遮断や，Web アプ

たコメントが簡体字で記載されている．開発者には中華人

リケーションのページに応答せずに HTTP 404 などの無害

民共和国の言語話者が含まれていると考える．

な情報を返すなどがみられた．

(b) URL(4) 誘導我々はフィッシングサイトで使用されている URL を分(a) フィッシングメール上の工夫

析した．このドメインは，Web アプリケーションが動作をWeb アプリケーションの動作開始前に配信されたフィッ開始する 1 週間から 1 日前に調達されていた．このドメイ

シングメールの分析を行った．このとき誘導先の URL がンを含む FQDN に使用されている文字列は，「linerk.cn」，

間違っているケースを確認した．誤った誘導先 URL を含「linkebn.cn」，「linkeuk.cn」など，一定期間にわたって類似

むフィッシングメールは配信され続け，その訂正は翌日以性を持つことを確認した．しかし，この類似性は繰り返さ降に実施されていた．Web アプリケーションが動作を停止れることがない．なお，証明書も FQDN ごとに調達されてした場合でもメールは配信され続けていた．これらの点かいる．

ら Web アプリケーションの運営者とメール配信の運営者

ドメインの TLD を集計し，14 種類を確認した．上位 3
件は「.cn」（437 件 43%），「.com」（393 件が異なる可能性を示している．

39％），「.me」

疑念払拭の手法として，LINE 株式会社の公式な通知で（64 件 6％）であった．また，IP アドレスのみでドメインあると装っていることが確認できる．ただし，その手口はを持たない運用も 8 件確認した．

送信者のメールアドレスと表示名を実在しない文字列に設使用率上位 3 件のドメインは，一定期間で優位性が入れ定するのみであった．

替わっていた．すなわち，2016 年 10 月から 2017 年 3 月ま誘導メールの件名や本文の内容は，受信者に LINE アカ

では「.me」が最も高く，2017 年 3 月から 2018 年 8 月まで

ウントが利用できなくなると誤認させる旨が書かれていた．

は「.cn」が最も高く，執筆時点では 2018 年 8 月から 2020

このように，受信者にアカウントが使えなくなると誤解させる脅しは一貫している．本文はリッチテキスト形式またけることを確認した．2 つ目は，より多くの LINE のアカウ

は HTML 形式が使用されていた．誘導先の URL を目視にントを詐取することを目的とした行動．詐欺師は盗んだ

よって確認できないように，無害な文字列のハイパーリン

LINE アカウントの友だちとして登録されているアカウン

クへ誘導先の URL が設定されていた．また，LINE 株式会

トに対してもソーシャルエンジニアリングを実行する．今社やグループ会社が過去に公開している文章を引用するな

度は詐欺師が直接会話やフィッシングサイトへの誘導によどの工夫も見られた．

って LINE アカウントの引き継ぎに必要な情報を聞き出す．

(b) LINE の機能による誘導
LINE 自体の機能を用いた誘導プロセスを分析した．こ5. 考察の種の誘導プロセスは，2020 年 2 月から 1 ヶ月弱の期間で

本稿では，我々が提案したフィッシング詐欺ビジネスプ

確認された[26 ．盗まれた LINE アカウントの権限で，トーロセスの分類を，観測できた 2 つのケーススタディに適用

ク機能やタイムライン機能を使って URL が拡散された．

した．6 つの活動におけるプロセスを体系的に理解し，各メールで確認された文言は転用されておらず，盗まれた活動にて結果を引き起こす因子を明らかにするに至った．

LINE アカウントの属性（年齢や性別など）をもとに内容の計画における因子は，犯行に至る動機，機会，標的，詐欺

最適化が図られていた．

の開始時期，誘導試行回数の期待値，詐取を狙う eKYC である．調達の因子は，調達先の傾向，調達サービスを支えるコミュニティの存在である．構築の因子は，技術習熟度，(5) 詐取Web アプリケーションは利用者にメールアドレスとパス

帰属情報，構築期間，設置のタイミングである．誘導の因

ワード，電話番号，電話番号に届く認証番号の 4 つの情報

子は，疑念払拭の手法，作業の品質である．詐取の因子は，入力を促す．

被害認知に至るまでの引き延ばし工作である．最後に，収

図 3 は，LINE フィッシングの流れを例示している．

益化の因子は換金対象，二次被害である．表 1 にフィッシ
ング詐欺ビジネスプロセスと判明した因子の対応表を示す．
表 1

フィッシング詐欺ビジネスプロセスと因子の対応表

Table 1Phishing Business Process and Factor Correspondence
Table.

図 3

LINE フィッシングのユースケース
Figure 3

Line phishing use case.

LINE 利用者が 4 つの情報をすべて入力すると，フィッシング詐欺の実行者が管理する端末で LINE アカウントが利用可能になる．
LINE アカウントの取得に成功した後，Web サイトでは，被害者にしばらく待つよう促すメッセージが表示する場合がある．この待ち時間は，被害者がフィッシング詐欺だと

このように，両ケースにおいて我々のフィッシング詐欺ビ

気づくのを遅延させる効果がある．

ジネスプロセスの適用が可能であり，その適用により脅威を予測する上で重要な因子を明らかにするに至った．

(6) 収益化
2 種類の収益化行動を確認した．1 つ目は，金銭情報を盗むことを目的とした行動．詐欺師は，盗まれた LINE アカ
ウントに友だちとして登録されているアカウントに対してソーシャルエンジニアリングを実行する．詐欺師は友人にプリペイド式の電子マネーの購入を依頼し，その電子マネーに関する秘密情報を教えるように誘導する．この手口は，
ソフトウェアではなく，犯罪者が被害者に対し直接働きか

6. 結論
本稿では，フィッシング詐欺をビジネスであると定義し，過去の事例を分析することでプロセスを分類した．事例研
究を行うことで，提案手法が実際のフィッシングキャンペ
ーンに普遍的に適用可能なプロセスであることを確認し，フィッシング詐欺を体系的に理解し，各活動にて結果を引き起こす因子を明らかにすることで，脅威を予測することが容易になることを確認した．
今後の研究では，活動ごとの対策の有無と対策の有効性を評価する．
(1) 提案プロセスの妥当性
本稿では，フィッシング詐欺の全体像を明らかにするために，フィッシング詐欺をビジネスとして捉え，そのプロセスの解明を試みた．具体的には，第 4 章では，2 つの事例についてプロセスを明らかにし，これらのフィッシング詐欺の概要を示した．実際に発生したいずれのケースにおいても，計画から収益化までの活動の存在が確認され，提案プロセスによるフィッシング詐欺の活動分類の活用が検証された．これらの結果から，フィッシング詐欺をビジネスと定義することは妥当である．
(2) 提案プロセスの有効性
フィッシング詐欺は，被害が発生した時やフィッシングメ
ールが確認された時に顕在化する．初期の段階では行動が明らかになることが少ないため，被害が発生してから対策が明らかになる傾向がある．提案するプロセスは，フィッシング詐欺の全貌を明らかにすることで，2 つのメリットがある．1 つ目は，被害が発生する前に活動を認識しやす
くなることである．2 つ目は，途中で疑われる事象が発生した場合，それ以前の活動の存在を確認することで，それがフィッシング詐欺に関連した活動であるかどうかを推察することが可能となる．
(3) 今後の方向性
本稿では，フィッシング詐欺をビジネスとして捉え，人やモノを使ってお金を稼ぐプロセスを明らかにしている．しかし，実際の対策を考案するためには，それぞれの活動におけるアクター（フィッシング詐欺）とモノ（武器）を明確にする必要がある．これを今後の研究における方向性と
して示す．

参考文献
[1]“2017 Global Online Consumer Report”．
https://assets.kpmg/content/dam/kpmg/xx/pdf/2017/01/the- truthabout-online-consumers.pdf[2] “Avoiding Social Engineering and Phishing Attacks”．
https://www.us-cert.gov/ncas/tips/ST04-014[3] “Phishing Activity Trends Report, 4th Quarter 2019”．

https://docs.apwg.org/reports/apwg_trends_report_q4_2019.pdf“Learning More about the Underground Economy: A Case-Studyof Keyloggers and Dropzones” ．
https://www.researchgate.net/publication/220270794_Learning_M
ore _about_the_Underground_Economy_A_CaseStudy_of_Keyloggers_and_Dropzones[5] “A Taxonomy of Phishing: Attack Types Spanning Economic,
Temporal, Breadth, and Target Boundaries” ．
https://aisel.aisnet.org/wisp2018/19/[6] "E-mail-Based Phishing Attack Taxonomy”．
https://www.mdpi.com/2076- 3417/10/7/2363/pdf[7] “Defending against Phishing Attacks: Taxonomy of Methods,
Current Issues and Future Directions”．
https://www.researchgate.net/publication/317044956_Defending_a
gainst_Phishing_Attacks_Taxonomy_of_Methods_Current_Issues_
and_ Future_Directions[8] “ Inside a Phisher’s Mind: Understanding the Anti-phishing
Ecosystem Through Phishing Kit Analysis”．
https://docs.apwg.org/ecrimeresearch/2018/5349207.pdf[9] “The Economy of Phishing: A Survey of the Operations of the
Phishing Market”．
https://www.cloudmark.com/releases/docs/the_economy_of_phishi
ng.pdf[10] ISO/IEC/IEEE 15288:2015．Systems and software engineering—
System life cycle processes[11] “How attackers use phishing kits for their campaigns”．
https://securityaffairs.co/wordpress/33658/cyber-crime/attackersuse-phishing-kits-campaigns.html[12] “Complete Guide to Creating and Hosting a Phishing Page for
Beginners”．https://null-byte.wonderhowto.com/forum/completeguide-creating-and-hosting- phishing-page-for-beginners-0187744/[13] B. Robert B. Cialdini．Influence: The Psychology of
Persuasion．December 26, 2006[14] “16Shop Now Targets Amazon” ．
https://securingtomorrow.mcafee.com/other-blogs/mcafeelabs/16shop-now-targets-amazon/[15] “DigitalOcean” ．
https://www.digitalocean.com/pricing/calculator/[16] https://urlscan.io/result/d7a17622-9d20-47aa-b973-b5c02cf23e2b[17] https://github.com/leakedtools/sendinbox[18] “Implementation of measures against illegal travel” ．
https://www.jc3.or.jp/topics/travel_fraud.html[19] “TOP10VPN DarkWebMarketPriceIndex(USEdition)” ．
https://www.top10vpn.com/research/investigations/dark-webmarket-price-index-feb-2018-us/[20] “Carder.tv”．http://carder.tv/index.php?/topic/6680-wantjapanese-cc- fullzdob%E3%80%80data/[21] “丝绸之路担保交易平台场 (Eng. Silk Road Chinese Escrow
Platform) ”． hxxp[: //shoptwgap2x3xbwy[. onion[22] “暗网交易平台-时光之路(Eng. Dark Net Trading Platform —Road of Time) ”．hxxp[: //v7osuzczwawdb2fl[. onion[23] https://linecorp.com/[24] “LINE for Business 媒体資料”．
https://www.linebiz.com/jp/download/[25] “LINE for Business 統計”．
https://www.linebiz.com/system/files/jp/download/LINE%20Busin
ess %20Guide_202001-06.pdf[4]