自社のWebサイトは安全ですか？ -自社を装う不審なWebサイトの調査方法 フィッシング対策編-
-
│
例：マクニカネットワークス #Phishing lang:ja
アクセス後に表示される画面では、RiskIQ社による様々な脆弱性等に関する記事が公開されており、ユーザ登録をしていない状態でも一部ご覧いただくことが可能です。
ユーザ登録については、画面右上のRegisterボタンから進めます。
▼調査方法
フィッシングサイト、偽サイトの調査は上記とは別のページで実施します。
画面右上の Use PT Classic にアクセスします。
アクセス直後の画面は図のような見た目となっています。
有償/無償版で一部表示情報が異なる部分もありますが、トップページにはユーザ自身の検索履歴や、チーム(企業)の他のユーザの検索履歴、またProjectと呼ばれる特定の設定条件に一致する、インターネット上で観測された情報を蓄積していく機能の画面が表示されます。
調査したいFQDNやIPアドレスの情報をフォーム欄に入力し、表示される様々な情報を画面上でクリックしていくことで、深堀していくような流れで調査を行います。
調査方法としては以下の2つがあります。
1.実際に観測されたフィッシングサイトの情報をもとに深堀する方法
2.自社のWebサイトの情報をもとに深堀する方法
▼実際に観測されたフィッシングサイトの情報をもとに深堀する方法
まずは実際に観測されたフィッシングサイトの情報をトリガーとして、他にもフィッシングサイトが作成されていないか調査を行っていく方法をご説明します。
ある企業を騙るフィッシングサイトが作成された際、同一のIPアドレスに複数のWebサイトが紐づけられていることが、一般的な傾向として散見されます。稼働しているWebサーバは1つであるのに対して、マルチドメインの技術を用いて、アクセス先のURLによって表示させるフィッシングサイトを変えているパターンです。
１．フィッシングサイトの情報収集
今回ご紹介する手順では、先ほどご紹介したTwitter上で報告されているフィッシングサイトの情報をもとに、ドリルダウンしていきたいと思います。
まずは、Twitterで「#Phishing lang:ja」と検索を行い、任意のフィッシングサイトのURLをピックアップします。
２．フィッシングサイトのURLをPassive Totalで検索
Passive Totalの検索フォーム欄に、フィッシングサイトのFQDNを入力します。
３．DATA -> ResolutionタブにてIPアドレスをクリック
フィッシングサイトのFQDNを入力すると、上図のような画面が表示されます。
HEATMAPの部分では、対象のFQDNの稼働状況や、紐づいているIPアドレスの数が表示されます。
DATA -> Resolutionタブでは、FQDNに紐づいているIPアドレスや、IPアドレスが初めて観測された日付・最後に観測された日付などの情報が表示されます。
同じIPアドレスに紐づいている他のFQDNのドリルダウンを行うために、Resolve列に表示されているIPアドレスをクリックします。
４．DATA -> Resolutionタブに表示されるFQDNを確認
手順３でIPアドレスをクリックすると上図のような画面が表示されます。
HEATMAPの部分では、対象のIPアドレスの稼働状況や、先ほどとは逆にIPアドレスに紐づいているFQDNの数が表示されます。
今回のフィッシングサイトの場合、2021年1月27日にある企業を標的としたフィッシングサイトが立ち上がった後、翌日の1月28日には複数の別の企業を標的としたフィッシングサイトが立ち上げられていたことがわかります。
このように、1つのIPアドレスに対して複数の企業を標的としたフィッシングサイトが紐づけられていることは往々にしてあるため、観測されたURL情報をもとにそのIPアドレス、そのIPアドレスに紐づけられている他のFQDNをドリルダウンしていくことは調査方法の1つとして有効となります。
実際に観測されたフィッシングサイトの情報をもとに深堀していく方法は以上となります。
▼自社のWebサイトの情報をもとに深堀する方法
次に、自社のWebサイトの情報をもとにフィッシングサイトの有無について深堀していく方法をご紹介します。
Google Analytics等、SEO/マーケティング等で使われるようなスクリプトなどの固有のID情報を参照する方法になります。フィッシングサイトが攻撃対象の企業のWebサイトを模倣する際に、上述のような固有ID情報もフィッシングサイトに埋め込まれる場合、固有のID情報をトリガーとして、他に埋め込まれているサイトが無いかを確認していくような深堀方法になります。
手順
１．自社WebサイトのFQDNをPassive Totalで検索し、Trackersタブに遷移
Trackersタブの画面はこのように表示されます。検索を行ったFQDNやドメインのホスト上に埋め込まれている、トラッキング用のスクリプトのサービスの種類がType列に、一意の識別子の値がValue列に表示されます。
２．Valueの値をクリックし、対象のトラッカー情報が埋め込まれている他のWebサイトを一覧表示
Valueの値をクリックすると、その識別子のトラッカー情報が埋め込まれているWebサイト一覧が表示されます。
この一覧の中から、FQDN内に「自社関連のキーワード+任意の文字列」であったり、
一見自社のドメインに見えるような文字列となっている（例： macnica.net → rnacnica.net）ような、不審なFQDNが無いかを確認していくような方法となります。
３．フィッシングサイトへの対応
次に、フィッシングサイトを見つけた後に行うべき対応についてです。
▼利用者への注意喚起
自社公式Webサイト上やその他あらゆる手段でフィッシングサイトに関する注意喚起を行い、利用者の被害を防ぐ必要があります。自社のドメインは <○○> であるため、合致しないサイトにはご注意ください、というような注意書きも最近ではよく見るようになった気がしています。
▼Google Safe Browsing, Microsoft Smartscreenへの通報
利用者の被害を防ぐための手段として、フィッシングサイトへのアクセスをブロックするという方法もあります。ブラウザが参照しているブラックリストに登録されているサイトにアクセスを試行する際、ブラウザ側で警告画面を表示してくれます。
以下のような通報窓口があるので、そこにフィッシングサイトの情報を報告する形になります。
https://safebrowsing.google.com/safebrowsing/report_phish/?hl=ja
▼フィッシングサイトのテイクダウン要請
フィッシングサイトの差し押さえ、稼働を停止させることをテイクダウンと呼びます。
フィッシングサイトのホスティング先のサービスプロバイダにや、ドメインのレジストラに対して削除依頼のメールを送る形になります。
Passive Totalの画面ではWhois情報を参照することも可能ですので、フィッシングサイトのIPアドレスのWhois情報などから通報先の情報を確認し、メールを作成します。しばしば海外のプロバイダにフィッシングサイトがホスティングされていることもあるため、多くの場合英語でメールを作成する形になるかと思います。
４．フィッシングサイトの自動検出・テイクダウン効率化
Passive Totalを使い、実際に観測されたフィッシングサイトの情報をもとに深堀する方法や、自社のWebサイトの情報をもとに深堀する方法、またフィッシングサイトを発見した際の対応についてご説明してまいりました。
- 実際に観測されたフィッシングサイトの情報をもとに深堀する方法：Resolutionsタブの情報をもとにドリルダウン
- 自社のWebサイトの情報をもとに深堀する方法：Trackersタブの情報をもとにドリルダウン
今回ご紹介したPassive Totalを利用したフィッシングサイトの調査方法や、フィッシングサイト発見時の対応は、どうしても人的なリソースがかかる作業でもあります。
Passive Totalを提供しているRiskIQ社の他の製品群では、フィッシングサイトをイベントという形で自動的に検知することが可能です。検知されたイベントは製品のUI上に表示され、数クリックの操作でテイクダウンメールを送信することや、画面上でのメールの履歴の管理が可能です。
フィッシングサイトの調査や対応の負荷を軽減できるものとなっていますので、ご興味ある方はぜひお問い合わせ頂けたら幸いです。
