JPCERT/CC Eyes

JPCERT/CCでは、2021年に44,242件のインシデント報告が寄せられ、そのうちフィッシングサイトに関するインシデント件数は、23,104件でした。本ブログでは、JPCERT/CCに報告されたフィッシングサイトの情報をもとに、報告件数の推移やかたられたブランドの業種別割合、フィッシングサイトに利用されたドメインの傾向について解説します。

なお、この記事で示すフィッシングサイトは、実在するブランドをかたり、認証情報などの窃取を狙っている不正なWebサイトを指します。また、報告を受けたフィッシングサイトは、メール以外にもSMS経由で拡散されているものも含まれます。

報告されたフィッシングサイト件数の推移と業種別割合

図1は、2021年のフィッシングサイト報告件数の推移です。1月から7月までは、月に2,000件未満でしたが、8月頃からAmazonやETC利用照会サービスサイトをかたったフィッシングサイトの報告が増加したこともあり、2,000件を超える状況が続きました。

図2は、フィッシングサイトでかたられた業種の割合を表したものです。報告されたすべてのURLをもとに割合を出しています。

2021年は、金融機関のブランドをかたったフィッシングサイトの割合が全体の31%を占めており、次いで通信事業者が27%と続いています。業種別割合の中で特徴的だったのが、政府機関のサービスをかたったフィッシングサイトで、 1月から7月までは30件未満でしたが、8月は63件に増え、9月は209件まで増加しました。報告内容の多くは総務省の特別定額給付金サイトや厚生労働省のコロナワクチンナビサイトをかたったフィッシングサイトでした。

フィッシングサイトが設置されたTLD（トップレベルドメイン）の内訳

図3は、報告されたフィッシングサイトをgTLDとccTLDで月別内訳を表したものです。

フィッシングサイトの多くは、gTLDで稼働していますが、全体の22%はccTLDでした。ccTLDとは「Country Code Top Level Domain」の略語で、国ごとに割り当てられ管理されているTLDです。一方で、gTLDは「General Top Level Domain」の略語で、国という概念はなく、サービス分野ごとに割り当てられています。gTLDは、ccTLDに比べ利用するのに制限は厳しくないこともあり、フィッシングサイトに利用されやすいと考えられます。

図4および図5は、フィッシングサイトに利用されたTLDをgTLDとccTLDに分け、それぞれのTLDの割合を表しています。

gTLDでは、orgドメインが42％と多くを占める結果となりました。原因としては、orgドメインでDynamic DNSサービスを提供する事業者のサービスが悪用され、フィッシングサイトが大量に生成されたためです。

ccTLDでは、cnドメインが69%と多くを占める結果となりました。JPCERT/CCは、CNCERT/CCと連携しフィッシング被害が拡大しないように、フィッシングコンテンツが置かれたサイトへの対応依頼や、関連ドメインレジストラーへの調整を実施しています。なお、jpドメインは3番目に多いという結果となりました。

フィッシングサイトが発生したjpドメインの傾向

jpドメインのフィッシングサイトの傾向として、正規ドメインのWebサイトが侵害を受け、フィッシングサイトのコンテンツが置かれて、悪用されるケースが散見されます。一方で、一部ではフィッシングサイトを設置するために取得されたjpドメインを利用して、フィッシングサイトを構築している状況も確認できました。フィッシングサイトの設置のために取得されたjpドメインの詳細は後ほど紹介します。

フィッシングサイトの設置のために取得されたjpドメインの特徴

フィッシングサイトの設置のために取得されたjpドメイン（対象のフィッシングサイトが確認された月に、登録されたjpドメインをフィッシングサイトの設置のために取得されたと判断）の特徴については、次の4点が挙げられます。

1. ブランド名をドメインに含める：aplusl.jp, saisons.jp
2. ブランド名をドメインに含めない：hsjhhfjk.jp, reihakls.jp
3. セカンドレベルドメイン（SLD）に数字を含める：card020.jp, card030.jp
4. 固有名詞の一文字を入れ替えたドメイン：registerb.jp, registerc.jp

jpドメインとフィッシングサイト（FQDN）とかたられたブランドの関係

フィッシングサイトの設置のために取得されたjpドメインを利用していたフィッシングサイトの特徴的なパターンを3つ紹介します。

1. サブドメインに対象ブランド名を利用

1つ目は、ブランド名をサブドメインに含めているパターンです。表1は、サブドメインごとに対象ブランドを変えている例を示しています。

ドメイン名に”card”を付けることで、攻撃者は何かしらのカードサービス（クレジットカードやマイナンバーカードなどの個人情報カード）を提供しているサービスやブランドの偽装を目的にドメインを登録したと考えられます。このような事例では、サブドメインにsmbcやrakutenを付けることで、フィッシングサイトごとに異なるブランドをかたっていました。

攻撃者が、フィッシングサイトの設置のためにドメイン名を登録する意図は、前述の例のように、対象ブランドやサービスがイメージできるサブドメインを追加することで、多種のフィッシングサイトが容易に作成でき柔軟性を得るためと考えられます。

一方で、表2のように楽天市場をかたる目的でドメインを登録したと思われるjpドメイン名において、サブドメインをsoumuiとすることで、特別定額給付金のフィッシングサイトを稼働させているパターンも確認されています。

2. サブドメインを固定

2つ目のパターンは、表3のようにサブドメインを固定し、ドメイン名の一文字を入れ替え、複数のフィッシングサイトを稼働するパターンです。

パソコンやスマートフォンなどブラウザーのサイズにより、Webサイトのアドレスは、左から表示され右側は表示されないことがあります。攻撃者は、左側となるサブドメインに正規企業名を登録することで、利用者に正規サイトと誤認識させるフィッシングサイトを複数稼働させる目的であると考えられます。

3. 日本語ドメイン

3つ目のパターンは日本語ドメインを使ったjpドメインです。

攻撃者は日本語ドメインでフィッシングサイトを稼働させることにより、外国語に慣れていない人に対して、対象のフィッシングサイトにアクセスすることに不安や違和感を与えない目的であると考えられます。

おわりに

今回は、2021年にJPCERT/CCに報告されたフィッシングサイトの報告件数やフィッシングサイトに利用されたドメインの特徴について解説しました。 JPCERT/CCで確認できたフィッシングサイト構築のために取得されたjpドメイン名情報を、Appendix Aに記載しました。関係事業者への対策の一助となれば幸いです。

フィッシングサイトやサイト改ざんなどの不審なコンテンツに関する情報をお持ちでしたら、以下の「インシデント対応依頼」からご連絡ください。

インシデント対応依頼 https://www.jpcert.or.jp/form/