2023年9月8日

NECサイバーセキュリティ戦略統括部 セキュリティ技術センターのA藤(ハンドルネーム)です。今週のセキュリティブログでは、実際に筆者のメールアドレスに届いたフィッシングメールに対して分析を行ってみましたので、その結果を共有したいと思います。

序文：フィッシングとは

前回のブログ[1]でも記載したように、情報セキュリティにおけるフィッシングとは、実在する企業などを騙り、ID・パスワード、クレジットカード情報などを窃取しようとすることを指し、攻撃者の制御する偽サイトへのリンクやマルウェアなどの悪意のある添付ファイルが張られたメールはフィッシングメールと称されます。また、フィッシングは、SMSや他のソーシャルメディアプラットフォームを介して行われることもあります[2]。
フィッシングについては、各社メディア・媒体で報道されているように最近急増しており、有名企業のブランドを騙ったものも多く、フィッシングで窃取されたデータを使用した不正送金の額も増加しています[3]。フィッシングの件数などについては、フィッシング対策協議会が月次で報告書[5]を出していますので、興味があればそちらをご参照ください。今回は、メールの仕組みなどを踏まえながら、どのようなメールが届いたかを見ていきたいと思います。今回の内容については、あくまでも筆者の私用のメールアドレス1つに届いたメールである為、1つの例として見ていただければと思います。

分析：

①メールを取得する

プロバイダが、90日以前と90日以内にメールフォルダを分割してくれていたため、新しいフィッシングメールの情報と古いフィッシングメールの情報として分けてみていこうと思います。
90日以内の2023年5月23日から8月22までに受信したフィッシングメールは212件でした。

一方90日以前のデータは、2021年11月27日から2023年5月22日までの期間取得しており、912件ありました。時系列にすると以下のようになります。

2つの図から、約2~6件/日フィッシングメールが届くメールアドレスとなります。

分析に使用したメールデータは、メールサーバからENVELOPEと呼ばれるデータ部と、受信者側のメールクライアント等で確認できる送信元や宛先、件名などが載っているメールヘッダの情報です。取得には、PythonのライブラリIMAPClient[5]を使用しました。

ENVELOPEについて[6,7]
電子メールは、物理的な手紙との類似性がよく説明で使われます。ENVELOPEは英語で「封筒」を意味し、その名の通り物理的な手紙の封筒部分の機能を担います。そのため、ENVELOPEには宛先アドレスと送信元アドレスが含まれます。メールのやり取りでは、このデータを参照して宛先へ送付されます。受け取ったユーザーは、メールクライアントを介してメールを閲覧しますが、この時通常封筒部分(ENVELOPE)は提示されず、CONTENT部分(ヘッダーと本文)を見ることになります。(後述しているSPF(Sender Policy Framework)の章で、ENVELOPE FROMが偽装可能であることを記載しています。)

②受信したドメインについて

最初に、受信したメールのドメインの傾向を見ていきます。分析に使用したのは、ENVELOPE FROMに記載されたドメインです。以下の表は、重複削除等は行っておらず、メール数でカウントしています。
表1に最近の受信メールでのTOP5ドメインを、表2に過去の受信メールでのTOP5を示します。

表1の上位4つと、表2の1位・3位は有名企業を騙ったものでした。また、表にあるドメインのうち、表1のresona.co.jpとAmazon.co.jpが使用されたメールでは別ブランドを騙ったものがあり、resona,co.jpでは三井住友銀行や三菱UFJ銀行を騙るメール、Amazon.co.jpではETCを騙るメールが確認できました。
騙られたブランドである三井住友信託銀行やりそな銀行、イオン等は以前より、フィッシングメールについて注意を呼び掛けており[8,9,10]、ブランドによってはフィッシングメールの特徴などの情報を共有しています。なお、今回見つかったメールアドレスドメインresona.co.jpはりそな銀行から報告されている一覧[9]の中にはなく、このように今後も使用されるドメインは増えると考えられます。

なお、メールヘッダの”Received”と設定された項目には、宛先・送信元・件名・送信日時・IPアドレスを含む送信経路情報が含まれており、メールの送信者が使用したメールサーバのIPアドレスを確認することができます[11]。そのIPアドレスについて調べてみると、クラウドサービスと思しきIPアドレスが上位を占めました。ただメール数の割には重複するIPアドレスは少なかったため(912件の方では上から15通・8通・7通・6通、212件の方では5通・2通他は1通ずつ)、定期的にメールサーバが変わっているか変えてフィッシングメールを送付している可能性が考えられます。

③メールテーマの傾向

届いているメールが、被害者の情報を窃取するためにどのようなテーマを用いているかを見ていきます。
銀行・カード系の資格情報(ID・Password)窃取を狙っているようなメールが多く見えており、実際に件名検索で“銀行, 银行, カード, 支払い, 取引”のいずれかを含む件数を調べると、212件中105件(約50%)、912件中322件(約35%)でした。912件の方では、銀行・カード系をテーマにしたメールが最近のデータ(212件)と比較して少なかったですが、これはAmazonやLouis Vuitton[12]を騙ったメールが合わせて271件(内訳:Vuitton 153件、Amazon 118件)や2022年6,7月頃に集中的に届いていたRay-Ban USサングラスを騙ったメール148件など、他のテーマのフィッシングメールが届いていたためであると考えられます。
上記から、大きなキャンペーンが無ければ、銀行・カード系、次いで他のアカウントなどのフィッシングメールが依然として多いと考えられます。

④SPF　 [14]

SPFとはSender Policy Frameworkの略で、電子メールの送信元ドメインが偽装されていないかを検証するための仕組みです。具体的な検証方法として、SPFではENVELOPE Fromに記載されたドメインと送信者のIPアドレスから、メールが正当なサーバから送信されているのかを確かめます。

以下は、SPFの結果を取得したものになります。

認証結果は、以下のようにみることができます。

出典:Trend Micro社[15]

最近の物(表3)ではPassしているものが85件(約40%)、Fail・SoftFailが91件(約43%)、その他が36件(約17%)でした。過去の物(表4)では、Passしているものが442件(約48%)、Fail・SoftFailが310件(約34%)、その他が、134件(約15%)でした。以上から、表3、4ではフィッシングメールではありますが、SPFを通過してしまっているのが半数近くあることがわかります。(SPFはRFC7208[16]で定義され、表5の評価値について記載がありますが、表3,4中にあるUnknownについては記載がありません。)

SPFによってフィッシングメールと判断されるメールの例として以下の物があります。

2023年7月15日に受信した国税庁を装ったフィッシングメールです。ヘッダーを見ると、ヘッダー部分のfromメールアドレスも、ENVELOPE(エンベロープ)のメールアドレス(envelope-from)も正規のinfo@e-tax[.]nta.go.jpを指していますが、フィッシングメールです。これは、送信元の偽装が行われていると考えられます。
では、どうやって判断するのか、ここでSPFが使用されます。上述したようにSPFではENVELOPE Fromのドメインと上図では黒塗りされていますがclient-ipという項目に記載された送信者のメールサーバのIPアドレスを使用して、認証が行われます。実際に、今回のIPアドレスを調べてみると、中国のChinaNetというプロバイダによってホストされているIPアドレスでした。国税庁が指定する送信元IPアドレスには当該IPアドレスが含まれておらず、SPFで認証が失敗(Fail)したとみられます。なお、国税庁を騙ったフィッシングメールは、過去にも報告されているもので、国税庁[17]もフィッシング対策協議会[18]も警戒を呼び掛けています。

SPF以外にもDKIM・DMARCと呼ばれるメール認証技術がありますが、筆者が契約しているプロバイダがSPFのみ対応の為、DKIM・DMARCの結果はありません。
なお、これらの認証を使っても、約89%の迷惑メッセージがPassしてしまうという記事がCloudFlare社[19]から発行されています。フィッシングメールを始め、スパムなどへ対策が難しいことが分かります。

⑤フィッシングメールの巧妙化

まだまだ日本語が変・違和感があるなどのメールの文を記載したフィッシングメールは存在するものの、銀行などを騙るフィッシングメールは最近ではオリジナルに寄せたようなレイアウト・文章が見受けられます。

図5. 本物のメール(左)・偽物のメール(右)

上記では、明らかに送信元が異なるため、これに気づくことができれば騙されないかもしれませんが、送信元まで偽装されていた場合は、判断することがより困難になると思われます。

銀行等で行われている対策の一つに電子署名付き電子メール(S/MIME)があります[20]。電子メールに電子署名を付与することにより、電子メールの送信者の身分証明・電子メールが途中で改ざんされていないことの確認が行えます[21]。S/MIMEを利用するには、受信者もS/MIMEに対応しているメーラー(メールクライアント)を使用する必要がありますが、GmailやOutlook(Microsoft社)、メールApp(Apple社)等が対応しています。以下はGmailでの表示例。

まとめ

今回は、筆者のメールアドレスに届いたメールの分析を行いました。継続してフィッシングメールが届いており、ドメインもブランドに似せたものが使われることが分かりました。また、e-taxのフィッシングメールでもわかるように、送信元は偽装可能であることが分かりました。それを検知するためにSPF・DKIM・DMARCなどのメール認証技術が使われていますが、すべてのフィッシングメールを除去できるわけではありません。今一度自身にフィッシングメールが届いていないか意識を変える一助になれば幸いです。

リンク

執筆者の他の記事を読む