月間フィッシング報告状況【11月】3万件を突破！-フィッシング対策協議会

フィッシング対策協議会は、フィッシングに関する11月の集計結果を発表。
2020年11月の1カ月間でフィッシング対策協議会に寄せられたフィッシング報告件数 (海外含む) は、前月より 2,240件増加し、30,967件と月間の報告件数としては初めて3万件を超えたという。

グラフ１：フィッシング報告件数
＜データ出典：フィッシング対策協議会＞

グラフを見ても分かるように年初には7千件に満たない報告数だったものが、5倍近い増加をしている。
夏場にEMOTETのキャンペーンが起きていたことに起因しているのか9月から一気に報告数が跳ね上がっていることが分かる。

なりすましの手法としては、特にAmazonを語るフィッシングの報告が多く、全体の62.3%を占め、次いで、三井住友カード、楽天、MyJCB、アプラス (新生銀行カード) が続いている。これらの上位5ブランドで、報告数全体の約90.1 %を占めている。
更に、11月は国税庁や新たなカードブランドなど、新規ブランドをかたるフィッシングが増えたという。
ブランド数が増えることで対象となる利用者層が広がっており、初めてフィッシングメールを受け取った、という報告も増えていることから、今後も注意が必要である。

またショートメッセージ (SMS) から誘導されるフィッシングについても報告が増えているという。
発信元情報をなりすましたSMSは正規のメッセージと誤認する可能性が高いため、注意が必要である。
特に宅配業者の不在通知を装ったSMSについては、今月も引き続き大量に配信されていましたが、新たに楽天市場の発送通知を装った文面も報告された。
いずれも不正なアプリ（マルウェア等）のインストールへ誘導されたり、通知内容とは関係のない金融機関をかたるフィッシングサイトへ誘導されたという報告があった。

その他にも、検索サイトの検索結果に表示される広告やSNSの広告からフィッシングサイト (または偽ECサイト) へ誘導されるケースの報告が少数ながら続いている。正規サイトへのリンクよりも上位に不正なサイトへ誘導する広告が表示されることもあり、いずれもメーカー等の正規サイトを装い、高額な製品を格安で購入できるようにみせかけているため、注意が必要である。

フィッシングサイトのURLについては、先月に引き続きIPアドレスを直接使用したURLが多くみられたが、数日間、同じURLが使われていてもブラウザでセキュリティ警告が出ないケースがあることも確認しているとのことであり、注意が必要だ。

フィッシング以外では、ビットコインを要求する脅迫メール (セクストーションメール) の報告が多数、寄せられたという。このようなメールは過去に漏洩した情報を元に送られているケースも確認されているため、長らくパスワードを変更していないサービスがある場合は、パスワード変更を行い、パスワードを使いまわししないよう、ご注意が必要である。

そして、差出人に正規のメールアドレス (ドメイン) を使用した「なりすまし」メールについては、組織として行う対策であるDMARC (送信ドメイン認証技術) を導入することで、正規の送信元から送られたか否かを受信側で検証することが可能であり、サービス事業者や組織における「なりすまし」メール対策として、さらなる普及が望まれる。
尚、利用者側におけるフィッシング対策としては迷惑メールフィルタ機能が有効である。特に大量配信されるフィッシングメールについては、迷惑メールフィルタで検知できるものも多いことをフィッシング対策協議会では確認している。
まずはフィッシングメールを受け取らない、読まないよう、これらの対策の検討をするべきであろう。

普段からログインを促すようなメールやSMSを受信した際は、正規のアプリやブックマークした正規のURLからサービスへログインして情報を確認するよう、心がける必要がある。
またクレジットカード情報や携帯電話番号、認証コード、口座情報、ワンタイムパスワード等の入力を要求された場合は、入力する前に一度立ち止まり、もし、入力した情報が裏で即時に不正利用された場合には、何が起こるかを考え、似たようなフィッシングや詐欺事例がないかを確認するようにすべきである。
特に初めて利用するサイトの場合は、運営者情報や問い合わせ先なども確認し、実在する組織の場合は他に（本物の）サイトかあるかどうか、また詐欺事例等がないかを確認することも忘れてはならないだろう。

フィッシングか否かの判断に迷うメールや不審なメールを受け取った場合は、各サービス事業者の問合せ窓口やフィッシング対策協議会 (info@antiphishing.jp) に確認するのも一つの防衛手段である。

本記事は、フィッシング対策協議会様の月次報告書の内容を元に作成しております。
ソース：https://www.antiphishing.jp/report/monthly/202011.html