COVID-19流行のピーク時、サイバー犯罪者の便乗が激化し、フィッシング攻撃が220%急増

David WarburtonF5 Labsディレクター | F5

F5 Labs 2020 Phishing and Fraud Reportの著者David Warburtonが、この動画で、詐欺師がパンデミックにどのように適応しているかを解説し、今後の傾向を展望します。以下に要約コメントを掲載しています。

F5 Labsの最新調査によると、COVID-19は引き続き、サイバー犯罪者によるフィッシングや詐欺行為を大幅に助長しています。

第4版の「フィッシングおよび不正行為レポート」では、世界的なパンデミックのピーク時に、フィッシングインシデントが年間平均と比べて220%増加したことが明らかになりました。

F5のSecurity Operations Center（SOC）のデータによると、2020年のフィッシングインシデント件数は前年比15%増となる見込みですが、パンデミックのさらなる波が広がれば、この予測は近く変わる可能性があります。

COVID関連のフィッシングメールの主な目的は、偽の慈善団体への寄付を装った詐欺、認証情報の窃取、マルウェアの配布の3つであることが判明しました。

フィッシング詐欺師のドメイン

過去数年の調査によると、F5 Labsは、詐欺行為者がフィッシングサイトの名称やアドレスにますます巧妙な工夫を凝らしていることを確認しました。

2020年の調査時点までに、フィッシングサイトの52%が、Webサイトのアドレスに標的とするブランドの名称やアイデンティティを使用していました。F5 LabsがWebrootのフィッシングサイトデータを分析したところ、2020年下半期に最も多く標的となったブランドはAmazonでした。Paypal、Apple、WhatsApp、Microsoft Office、Netflix、Instagramも、なりすましの多いブランド上位10社に含まれていました。

認証情報が盗まれてから実際の攻撃に使用されるまでを追跡した結果、F5 Labsは、犯罪者が被害者をフィッシングにかけてから4時間以内に、盗んだパスワードを使用しようとしていたことを確認しました。多要素認証（MFA）のセキュリティコードを取得するため、リアルタイムで実行された攻撃もありました。

目立つ場所に潜む

2020年には、フィッシング詐欺を行う攻撃者が、不正サイトを可能な限り本物らしく見せるための取り組みも強化しました。F5 SOCの統計によると、フィッシングサイトの大半が暗号化を利用しており、実に72%が有効なHTTPS証明書を使用して被害者を欺いていました。また同年、マルウェアが窃取したデータの送信先であるドロップゾーンの100%がTLS暗号化を使用しており、2019年の89%から増加しました。

2019年と2020年のインシデントを合わせて分析した結果、F5 Labsはさらに、ドロップゾーンの55.3%が標準外のSSL/TLSポートを使用していたと報告しています。1件を除くすべてでポート446が使用されていました。フィッシングサイトの分析では、98.2%が標準ポートを使用しており、平文のHTTPトラフィックにはポート80、暗号化されたSSL/TLSトラフィックにはポート443が使用されていたことが判明しました。

今後の脅威

最近の調査によると、Shape Securityの調査結果が「Phishing and Fraud Report」に初めて組み込まれ、今後顕在化すると見込まれる2つの主要なフィッシング動向が明らかになりました。

ボットトラフィック（ボットネット）に対するセキュリティ制御やソリューションが向上した結果、攻撃者はクリックファームを利用し始めています。クリックファームでは、数十人のリモート「ワーカー」が、最近不正に入手した認証情報を使って標的のWebサイトへのログインを組織的に試みます。標準的なWebブラウザを使用する人間から接続されるため、不正行為の検出が難しくなります。

比較的少数の攻撃でも影響があります。たとえば、Shape Securityがある金融サービス機関における月間1,400万件のログインを分析したところ、手動による不正行為の割合は0.4%でした。これは不正なログイン試行56,000件に相当し、この種の活動は今後さらに増加すると見込まれます。

Shape Securityの研究者は、多要素認証（MFA）コードを取得して使用できるリアルタイムフィッシングプロキシ（RTPP）の増加も確認しました。RTPPは中間者として機能し、被害者と正規のWebサイトとの間の通信を傍受します。攻撃がリアルタイムで行われるため、悪意のあるWebサイトは、MFAコードなどの時間ベース認証情報を取得して再利用するプロセスを自動化できます。さらに、セッションCookieを窃取して再利用することも可能です。

最近実際に使用されているリアルタイムフィッシングプロキシには、ModlishkaやEvilginx2などがあります。F5 LabsとShape Securityは、今後数か月にわたり、RTPPの利用拡大を監視していく予定です。

詳細については、F5 Labs 2020 Phishing and Fraud Reportをダウンロードしてご覧ください。

レポートについて

今年のF5 Labs Phishing and Fraud Reportでは、F5 Security Operations Center（SOC）が過去5年間に確認したフィッシングインシデントを検証するとともに、OpenTextのWebroot® BrightCloud® Intelligence Servicesから提供された、稼働中でフィッシングサイトと確認済みのサイトを詳細に分析しています。また、Vigilanteのダークウェブ市場データの分析とShape Securityの調査も収録しています。これらを総合することで、フィッシングを取り巻く世界の全体像を一貫した形で明らかにしています。

著者について

David WarburtonF5 Labsディレクター | F5

David WarburtonはF5 Labsのディレクターです。IT業界で20年以上の経験を持ち、フルスタック開発者としてキャリアをスタートした後、クラウドアーキテクチャに伴うさまざまな難題に取り組み、その後、穏やかで平和なサイバーセキュリティの世界へと転身しました。暗号技術などの高度に技術的なテーマから、現実社会におけるセキュリティの社会技術的側面まで、幅広い分野を研究しています。 Warburtonは、Infosec（英国）、GovWare（シンガポール）、Crikeycon（オーストラリア）、ITBN（ハンガリー）、Digital Transformation EXPO（英国）のほか、英国軍向けにも講演を行っています。また、BBC World News、Sky News、SABC、The Guardian、Risky Businessなど、世界各国のテレビ、印刷媒体、業界ポッドキャストに数十回出演しています。F5 Labsが発行する年次レポート「Phishing and Fraud」や「TLS Telemetry」などの著者であり、最近では、組織のアプリケーションセキュリティ態勢の改善に役立つSSL/TLS/HTTPSスキャン用DevOpsツール「Cryptonice」を共同開発しました。 WarburtonはRoyal Holloway University of Londonで情報セキュリティの修士号を取得しました。修士論文では、モノのインターネット（IoT）におけるセキュリティと暗号技術の活用をテーマに研究しました。

David Warburtonのその他のブログ記事