日本は、フィッシングの格好のターゲット！？ CODE BLUE 2022講演レポート
10/27-28と国内最大級のセキュリティ国際会議であるCODE BLUE 2022が開催されました。セキュアブレインは、CODE BLUE 2022のスポンサーとして参加していました。
2日間に渡って開催されたCODE BLUE 2022では、世界トップクラスの講演者による数多くの講演がなされました。多くの興味深い講演がありましたが、その中からフィッシングに関連する講演を1つ紹介します。
中国系地下カードショップ環境の理解によるフィッシングマスターへの道 by Strawberry Donut
この講演では、Strawberry Donut氏によってダークウェブの市場で調査したクレジットカード詐欺のTTPs(戦術・技術・手順)について解説されていました。詳細をここで述べることはできませんが、日本市場がなぜフィッシャーに狙われるのか(どの様に都合が良いのか)がまず述べられていました。さらに、Phishing Kitやメールの配信などのテクニカルな仕組みから、現金化の仕組みや詐取したカード情報の評価方法などについて、詳細かつ具体的に解説されていました。
この講演からも分かるように攻撃者は巧みにフィッシングを行っています。そして、様々な役割に分業されており、日本国内全域を標的に組織的に犯罪を行っているということです。また、日本という市場が、今回の講演タイトルにある中国系地下カードショップ環境にとってオイシイ標的であるということも述べられていました。
近年、フィッシング、スミッシングの報告が増加しており、不正送金やカード情報の窃取の被害が増えています。では、どの様に対策を行うべきでしょうか？
サービス利用者の視点での対策です。
フィッシング対策として最も大切なのは、むやみにメールなどのリンクをクリックせず、以下の2点を心がけることです。
●普段から利用するサービスは、ブックマークしておき必ずブックマークから利用する
●公式アプリがある場合は、公式アプリ経由で利用する
近年、検索結果の上位にフィッシングサイトが表示されてしまう事例(*)や、URLを本物に見せかけようとする攻撃があり、検索結果からサイトを利用することや、URLがおかしくないかチェックするといったことは対策として必ずしも有効とは言い切れません。また、フィッシングサイト自身も本物をコピーして作成されていることが多く、見た目で判別することは困難です。ブックマークからの利用や公式アプリの利用を常日頃から心がけるようにしてください。
*https://www.sankei.com/article/20221019-JW6B4XO2PBOQLLBNJSWKAHCXIU/
また、個人情報を扱うようなサービスを利用している場合は、そのサービスが提供している対策ツール（ワンタイムパスワード、SMS認証、メール認証、ログイン通知機能、また各種のウイルス・フィッシング対策ソフト）を利用することをおすすめします。
セキュアブレインでは、金融機関向けにPhishWall（フィッシュウォール）というフィッシング対策ソフトを販売し、契約金融機関を利用しているユーザ様は無償で使えるようになっています。
また、Webサイトの安全性を無料でチェックする「gred（グレッド）でチェック」（https://check.gred.jp/ ）を提供しています。「gredでチェック」は、セキュアブレインの解析エンジンが対象のウェブサイトのコンテンツを取得し、検査するウェブサイトがフィッシングサイトなど危険なサイトでないかを診断します。不審なサイトかもしれないと思ったら、アクセスする前に「gredでチェック」で、安全の確認をしてください。
