実際の魚を釣る本物のフィッシングでは、タイミングが重要であることは周知の事実です。魚の種類によって、朝に活発になって釣れやすいものもいれば、夕方に釣れやすいもの、午後の早い時間帯に釣れやすいものもいます。
F5 SOCが2015年に欧州、中東、アフリカ（EMEA）の金融機関を狙ったフィッシング攻撃から収集した統計を基に、攻撃者の行動パターンを読み解くと、デジタルのフィッシングも実際の釣りと変わらないことがわかります。
タイミングが重要
EMEAでフィッシング攻撃の被害を避けるには、金融取引を行う曜日として土曜日が最も適していることがわかりました。2015年に土曜日に発生した攻撃はわずか5%で、次に少なかったのは金曜日と日曜日の各12%でした。
月曜日には他のどの曜日よりも多くの攻撃（20%）が確認されており、月曜日の悪評は事実に即していると言えます。ただし、平日のほかの曜日もそれほど状況が良いわけではありません。IDCの調査によると、職場でのインターネット利用時間の30～40%が業務以外の活動に費やされています[1]。この点を考慮すれば、金融機関に対する攻撃が週末よりも平日に平均して多いのも不思議ではありません。
さらに、フィッシング攻撃の大半が営業時間中に発生していることを示すデータも、この傾向を裏付けています。
2015年には、月末よりも月初にフィッシング攻撃が発生する可能性が200%高いことも明らかになりました。フィッシング攻撃は月の第1週にピークを迎え、その後は減少し、予想どおり平日の活動が多く、週末は少なくなっていました。
当然ながら、EMEA地域では、ほとんどの雇用主が月初または月末に従業員の給与を支給しています。F5 SOCの専門家は、これにEU全体でオンラインバンキングの平均利用率が46%であること[2]が重なり、月初に攻撃が急増する一因になっている可能性が高いと指摘しています。従業員が請求書の支払いや給与の入金確認のためにオンラインバンキングシステムへログインするためです。
適切なルアーの選び方
現実世界の釣りでは、どのルアーが最適かほど意見が分かれる話題はありません。色、サイズ、動き、そしてルアーが本物をどれだけ忠実に再現しているかが重要な要素です。魚が食いつくよう、使っているルアーを本物だと思わせようとしているからです。デジタル世界で金融データを狙うフィッシング詐欺に使われる誘い文句やサイトについても、同じことが言えます。
魚が餌に食いつくまでには相当な誘いが必要なように、フィッシング詐欺の潜在的な被害者も簡単には騙されないことが分かりました。F5 SOCの調査では、誰かが罠にかかるまでに、不正なページへ平均9.14回アクセスしていました。
専門家は、発見された不正サイトを詳しく調査し、フィッシング詐欺の実行者やその手口について可能な限り多くの情報を得るために、多大な時間を費やしています。フィッシング攻撃に使用されるURLから、攻撃者について多くのことが分かります。2015年には、不正サイトの10件に1件が、www.phishingsite.comやwww.phishingsite.com/index.htmlのように、追加のパスを設けずルートディレクトリにホストされていたことが確認されました。これは、そのサーバーが不正サイトのホスティング専用に用意されていたことを示しています。つまり、フィッシング攻撃のために購入された可能性が高いということです。通常、攻撃者は既存のサイトをハッキングし、悪意のあるコンテンツを挿入します。しかし、このように専用サイトを構築する手口は、Webアプリケーションファイアウォールなど、ほかの予防手段では検出されにくいため、懸念すべき動きです。
2015年にこの広く普及したシステムで多数の深刻な脆弱性が報告されていたことを考えると、不正サイトの15%がWord Pressフォルダーでホストされていたことは驚くにあたりません。パッチが適用されていない脆弱性や未対処の脆弱性は、悪意のあるコードや不正サイトのホスティング先を探す者に容易に悪用されます。
さらに、F5 SOCの専門家は、URLパスの20%が被害者ごとに動的に生成されていたため、従来のセキュリティ対策ではブロックが困難だったと指摘しています。これも、2015年に不正サイトの削除または閉鎖に要した平均時間を長引かせる一因となっています。
幸いなことに、エンドユーザーの認証情報が盗まれた場合、不正サイトの閉鎖に要する時間は短くなります。一方、閉鎖までの数時間、多くのユーザーは保護されないまま、潜在的な危険にも気付かずにいるという問題があります。
F5 SOCでは、不正ドメインの開設から検知までの時間を短縮するため、公式ドメインと類似した名称のドメインを監視することを推奨しています。多くの偽ページは、必ずしも類似名のドメインでホストされているとは限りませんが、攻撃に使用されるURLに公式の文字列が含まれています。そのため、F5 SOCでは通常、これらの特定の文字列をインターネット上で検索することを推奨しています。EMEA地域の金融機関を標的とするフィッシング攻撃は、月曜日から木曜日の営業時間中に最も活発になる傾向があります。消費者が認証情報窃取の被害に遭うのを防ぐには迅速な対応が鍵となるため、すべての偽ページをできるだけ早く分析し、閉鎖することが重要です。
[1] http://www.staffmonitoring.com/P32/stats.htm
[2] http://www.statista.com/statistics/222286/online-banking-penetration-in-leading-european-countries/
F5の不正対策について詳しくは、WebSafeデータシートおよびMobileSafeデータシートをご覧ください。F5 Security Operation Centersについて詳しくは、F5 SOCデータシートをご覧ください。
著者について
Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。
Lori Mac Vittieのその他のブログ記事関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。