フィッシング対策協議会(Council of Anti-Phishing Japan)はこのほど、「フィッシング対策協議会　Council of Anti-Phishing Japan｜報告書類｜月次報告書｜2024/09 フィッシング報告状況」において、2024年9月のフィッシング報告状況を発表した。

  • フィッシング対策協議会　Council of Anti-Phishing Japan｜報告書類｜月次報告書｜2024/09 フィッシング報告状況

    フィッシング対策協議会　Council of Anti-Phishing Japan｜報告書類｜月次報告書｜2024/09 フィッシング報告状況

9月のフィッシング報告の概況

2024年9月におけるフィッシング報告状況の注目される主な内容は次のとおり。

  • 2024年9月はAmazonをかたるフィッシング詐欺の報告が2割近く増加し、報告数全体の約29.1%を占めた。次いで東京電力、JCB、ヤマト運輸、JAバンクの報告が1万件以上確認され、これらで全体の約64.8%を占めた。1,000件以上の報告があったブランドは16ブランドあり、全体の約94.4%を占めた
  • ショートメッセージサービス(SMS: Short Message Service)から誘導するスミッシングでは、東京電力および金融機関をかたる文面の報告を多く受領した。Googleメッセージのリッチコミュニケーションサービス(RCS: Rich Communication Services)チャットから送信されたフィッシングメッセージの報告も少数だが受領している
  • 報告されたフィッシングサイトのURLは.comが約46.9%で最多となった。これに.cn(約28.5%)、.xyz(約5.4%)、.top(約3.5%)、.sbs(約3.0%)が続いた。報告件数が1,000回以上のドメイン名を含むURLは全体の約9.7%と大きく減少し、報告回数10回以下は約19.2%、20回以下は約29.5%と再利用回数が減少する傾向にある
  • 2024年9月はフィッシング詐欺の報告件数が148,210件となり、前月から18,346件の減少となった。しかしながら、7月以降、一部の事業者のドメインになりすましてフィッシングメールを大量送信するケースが確認された。当該事業者はDMARC (Domain-based Message Authentication, Reporting, and Conformance)ポリシーをnoneからquarantineに変更したが変化はなく、rejectに変更後に報告数が減少した
  • メール本文に非表示のゴミ文字列や正規のURLを埋め込んだり、Unicode文字列を用いてURLを記述したりするなど、セキュリティソリューションの検知を回避する試みが続いている。また、URLの一部にBASIC認証文字列として無価値のランダム文字列を記述する試みも続いている
  • 特定のメールサービス利用者から特定のフィッシングメールの報告が一時的に増加するケースがみられた。これは迷惑メールフィルター、DMARC、送信元IPアドレスおよびドメイン検証などを回避する試みの結果と推測される

フィッシング詐欺対策

大量のフィッシングメールが届いている場合は、メールアドレス漏洩の可能性がある。このような場合は、「フィ ッシング対策協議会　Council of Anti-Phishing Japan | サービス事業者の皆様へ | なりすまし送信メール対策について」の「送信ドメイン認証に対応するメリット」を参考に、フィッシング対策の強化されているメールサービスのメールアドレスに切り替えることが推奨されている。

メールサービスを提供する通信事業者にはこれまでと同様に、DMARCポリシーに従ってメールの配信を行うことや、迷惑メール対策の強化、Webメールやメールアプリにおいて送信ドメイン認証の検証結果とドメインをユーザーに警告表示する機能追加の検討が求められている。また、オンラインサービスを提供している事業者には、DMARCレポートを確認しながらポリシーをrejectに変更することが求められている。

DMARCはGoogleの「メール送信者のガイドライン」や、NTTドコモの「なりすましメールの警告表示機能」など、フィッシング対策として利用が広がっている。日本政府も「(PDF) 国民を詐欺から守るための総合対策 - 令和6年6月18日 - 犯罪対策閣僚会議」において対応促進を発表しており、今後はDMARC対応がメールセキュリティの基本要件になると考えられ、すべてのメール配信システムには積極的な導入が望まれている。