フィッシングメールの最新動向

本内容は、アンラボコリアより発表された内容を翻訳したものです。

--------------------------------------------------------------------------------------------

アンラボが約１か月間 (2022年11月13日～12月17日) にわたって収集したフィッシングメールを分析してフィッシングメールの最新動向を発表した。

◆ 主なキーワード Top3

１位 「返信 (Re)」 / 2位 「注文 (order)」 / 3位 「支払い (payment)」

攻撃者がフィッシングメールに最も多く使用したキーワードは、全体の28％を占めた 「返信 (Re)」 (28％) であった。攻撃者は主にメールタイトルの文頭に [Re] を付けた。

次に 「注文 (Order)」 が15.6%で２位、「支払い (Payment)」 が11.8%で３位を記録した。

「返信　(Re)」 は、メール受信者がやり取り中のメールの返信だと勘違いして開いてしまう可能性が高い理由から攻撃に多く用いられたと推定される。また、「注文 (Order)」 と 「支払い (Payment)」 は、国内/海外を問わずオンライン基盤の金銭取引が増えてきている最近のトレンドを反映し、ユーザーの注意を引くための試みであると解釈できる。

◆ 脅威タイプ Top3

1位 「インフォスティーラー (Infostealer) 感染」 / ２位 「偽ページ (FakePage) の表示」 / ３位 「マルウェアの追加ダウンロード」

アンラボによる分析の結果、情報搾取を目的とする 「インフォスティーラー (Infostealer)」 に感染させようと試みる脅威タイプが全体の33.3%で最も高い割合を占めた。続いて添付ファイルに悪性スクリプトを組み込ませ、正常なページと区別がつかない偽のログインページを表示する 「偽ページ (FakePage) の表示」 が23.6%、添付ファイルの実行などにより追加で別のマルウェアをダウンロードする 「マルウェアの追加ダウンロード (Downloader)」 が17.1%を占めた。 

インフォスティーラーの場合、ユーザーが Web ブラウザに保存したアカウント情報、メール、暗号資産ウォレット、ファイルなどに保存されているユーザー情報などを広範囲にわたって搾取するため、直接的な金銭被害を招く恐れがある。攻撃者はインフォスティーラーや偽ページにより搾取したアカウント情報を利用して2次攻撃を行ったり、ユーザーを騙してダウンローダーマルウェアに感染させ、ランサムウェアなどのマルウェアを追加でインストールしたりする可能性がある。 

◆ 添付ファイルタイプ Top3

１位 「圧縮ファイル (.zip など)」 / ２位 「ディスクイメージファイル (.img/.iso など)」 / ３位 「スクリプトファイル (.html など)」

攻撃者により多く用いられる添付ファイルのタイプは 「圧縮ファイル (.zip、.rar、.gzなど)」 が 35.3%で最も多く、「ディスクイメージファイル (.img/.iso など)」(*) が26.2%、「スクリプトファイル (.html など)」 が24.3%であった。

＊ディスクイメージファイル (.img/.isoなど)：ディスクイメージフォーマットの一つであり、圧縮解凍およびマウント (オペレーティングシステムに認識させる作業) でファイルを実行できる。

特に最近攻撃者は、企業で実行ファイル (.exe) が添付されたメールを自動的に遮断するフィルタリングシステムが主に使用されていることを把握し、悪性実行ファイルを隠ぺいするために圧縮ファイル形式やディスクイメージファイル形式を主に使用している。また、スクリプトファイルを偽ログインページを露出させる目的で使用している。

フィッシングメールによる被害を予防するためには、以下のセキュリティルールを守らなければならない。

▲ メールの送信元を入念に確認する。

▲ 疑わしいメール内の添付ファイルおよびURLを実行しない。

▲ パスワードを Web ブラウザに保存しない。また、パスワードを定期的に変更する。

▲ V3 などのセキュリティ対策ソフトを最新の状態に維持し、フィッシングサイト遮断機能を有効にする。

▲ 使用中のプログラム (OS/インターネットブラウザ/オフィスSW など) を最新の状態に維持し、セキュリティパッチを適用する。

アンラボでは、攻撃者が情報流出・マルウェア流布·ネット詐欺などの攻撃を行うために巧妙な手口を用いたメールを 「フィッシングメール」 として分類している。上記の分析を行う際に、アンラボのマルウェア分析対応組織であるASEC (アンラボセキュリティ対応センター) が独自構築したメール 「ハニーポット」​(*)​ およびサンプル自動分析システム 「RAPIT」 を活用している。

＊ハニーポット (honey pot)：攻撃者を誘い込む目的で、実際にサービスを行っていないのにサービスを提供しているように見せかける侵入検知手法