フィッシング対策協議会に寄せられたフィッシング報告件数

2025年01月13日 13時16分20秒 | その気になる言葉

月次報告書

2024/11 フィッシング報告状況

2024年12月16日

フィッシング報告件数

2024 年 11 月にフィッシング対策協議会に寄せられたフィッシング報告件数 (海外含む) は、前月より 2,850 件減少し、178,593 件となりました。

フィッシングサイトの URL 件数

2024 年 11 月のフィッシングサイトの URL 件数 (重複なし) は、前月より 5,742 件増加し、77,109 件となりました。

フィッシングに悪用されたブランド件数

2024 年 11 月のフィッシングに悪用されたブランド件数 (海外含む) は、前月より 6 件増加し、94 件となりました。

総評

2024 年 11 月のフィッシング報告件数は 178,593 件となり、2024 年 10 月と比較してほぼ変わらず、2,850 件減少となりました。
Amazon をかたるフィッシングは前月より減少し、報告数全体の約 22.9 % を占めました。次いで各 1 万件以上の大量の報告を受領したJCB、マスターカード、えきねっと、PayPay をかたるフィッシングの報告をあわせると、全体の約 57.1 % を占めました。また 1,000 件以上の大量の報告を受領したブランドは 24 ブランドとなり、これらを合わせると全体の約 94.0 % を占めました。

分野別では、報告数全体に対する割合は、クレジット・信販系約 39.9 %、EC 系約 25.9 %、金融系約 11.9 %、交通系約 6.9 %、決済系約 6.3 %となり、前月と比較するとクレジット・信販系、交通系、決済系が急増しましたが、それ以外の分野は概ね減少傾向となりました。
フィッシングに悪用されたブランドは 94 ブランドとなり、金融系 23 ブランド、クレジット・信販系 22 ブランド、通信事業者・メールサービス系 11 ブランド、配送系 7 ブランド、EC 系 6 ブランドとなり、多くのブランドが報告されました。特に金融系においては地方銀行系のブランドが増えました。

SMS から誘導されるフィッシング (スミッシング) については、クレジットカード系ブランドおよび東京電力をかたる文面の報告を多く受領しました。金融系、宅配便の不在通知を装うスミッシングの配信も続いています。スミッシングへの対策については、「事業者のみなさまへ」「利用者のみなさまへ」を参考にしてください。

2024 年 11 月のフィッシングサイトの URL 件数は 77,109 件となり、2024 年 10 月と比較すると 5,742 件の増加となりました。メール内にランダムサブドメイン名を付加した使い捨て URL を使う傾向が続いており、URL 数が多い状況が続いています。
報告全体の URL（重複あり）の TLD 別では .com 約 42.5 %、次いで .cn が約 36.4 %、.top 約 9.1 %、.co 約 1.8 %、.goog 約 1.5 % 、.chou 約 1.5 % となり、.com ドメイン名および .cn ドメイン名の悪用が多い状況が続いています。ドメイン名にランダム文字列のサブドメインを付加してフィッシングメールに記載する「使い捨て」リダイレクト用 URL として使うケースが報告全体の URL の約 35.6 %と増加傾向にあり、そのうち約 76.4% が .cn、約 22.5% が .com となりました。 11 月に報告されたドメイン名数は 11,700 ドメイン、報告回数 100 回以上のドメイン名は 240 ドメイン、URL 件数では全体の約 45.3 %を占め、報告回数 10 回以下のドメイン名は 8,777 ドメインとなり、 URL 件数全体の約 14.8 % を占めました。報告回数が多いドメイン名に対しては URL フィルターやテイクダウンが効果的と考えられます。
また短縮 URL やリダイレクト機能があるサービスを不正利用するケースは前月より減少傾向となっていますが、前月と同数程度、報告が続いているサービスもありました。

ある調査用メールアドレス宛に 11 月に届いたフィッシングメールのうち、約 75.1 % がメール差出人に実在するサービスのメールアドレス (ドメイン名) を使用した「なりすまし」フィッシングメールであり、「なりすまし」送信が多い状況が続いています。
送信ドメイン認証技術 DMARC のポリシーが reject (認証失敗したメールは受信拒否) または quarantine (認証失敗したメールを迷惑メールフォルダー等へ隔離) で、フィルタリング可能ななりすましフィッシングメールは約 38.5 % と増加傾向となり、DMARC ポリシーが none (認証成功・失敗したメールを両方区別なく素通し) または DMARC 対応していないドメイン名のなりすましフィッシングメールは約 36.6 % と減少傾向となりました。独自ドメイン名による非なりすましメール配信は約 24.9 %、そのうち DMARC に対応して認証成功 (dmarc=pass) したメールは約 43.2 % となり、非なりすましメールの送信ドメイン認証への対応率が上がっています。
逆引き (PTR レコード) 設定がされていない IP アドレスからの送信は約 85.9 % となり、多い状況が続いています。Gmail 送信者ガイドラインでも逆引き設定は対応必須となっており、特に大量配信される不正メールは送信元 IP アドレスに逆引き設定がされていないケースが多いため、メールサービスを運用している場合は、正規メールか否かの判定基準の一つとして、そのようなメールを受け取らないことを検討してください。

11 月も報告数および URL 数が多い状況が続きました。5月以降増加したなりすまし送信の傾向から、p=quarantine では none と同様になりすましメールの配信自体は成功するため、なりすまし送信被害が多い状況が続くことが確認されています。 p=reject で運用してもなりすまし送信が続くこともありますが、認証失敗したメールの着信率が下がるため、結果として被害を最小限に抑えることができます。一方、受信時にDMARC認証によるフィルタリングを行っていない ISP や企業などのメールサービス利用者は、なりすましメールに騙されてフィッシング被害にあう傾向が高くなっています。
フィッシングサイトへの誘導の手口としては、抽選、支払いへの利用、紹介、新規契約、サイトへのログイン等によるポイントプレゼントなど、さまざまなキャンペーンに勧誘する文面が多く報告されました。毎日のように届く本物のキャンペーンメールやメールマガジンは受信者側も見慣れており、それをコピーしてリンクを差し替えたフィッシングメールは違和感に気付きにくく、送信ドメイン認証により正規メールにのみ表示されるブランドロゴ、アイコン、マーク等や S/MIME による電子署名等などがなければ判別が困難になっているため注意が必要です。
またメール文面に非表示のゴミ文字列や正規の URL を混ぜたり、Unicode 文字列で URL を記載したり、URL の BASIC 認証情報 (フィッシングサイトアクセス時には不要となる) 部分やサブドメイン名部分にランダム文字列を記載するなど、迷惑メールフィルターや解析ツール等の検知を回避しようとするパターンが続いています。

フィッシング以外では、事業者から送られたキャンペーンや注意喚起の正規メールがフィッシングメールとして報告されるケースが増えました。不審なメールとしては、不審な仕事 (アルバイト) の募集、宝くじの当選通知、仮想通貨での支払いを要求する脅迫メール (セクストーションメール) の報告が多く寄せられました。このようなメールから誘導されたサイトで詐欺被害に遭った場合は、最寄りの警察署へ相談、情報提供を行ってください。

事業者のみなさまへ

メールサービスを提供している通信事業者は、DMARC ポリシーに従ったメールの配信を行い、迷惑メール対策を強化してください。また、ウェブメールやメールアプリなどでは送信ドメイン認証の検証状況を利用者が認識できるよう、検証結果に基づいた警告表示ならびに検証対象としたドメインの表示を検討してください。

オンラインサービスを提供している事業者は、DMARC レポートで正規メールが利用者に届いていることを確認しながら、最終的にポリシーを reject に変更する計画を立ててください。現在、事業者規模の大小問わず、ドメイン名を悪用したなりすましフィッシングメール配信が確認されています。 quarantine では迷惑メールとして届くため、受信者は正規メールも迷惑メールとして認識しており、ブランドへの信頼度が低下します。実際に p=none/quarantine の EC 系ブランド、クレジットカード系ブランド、金融系ブランドにおいては、本物メールがフィッシングとして報告されるケースが増えています。メールからのコンバージョン率が下がっている場合は、ドメイン名＝ブランドへの信頼度が低下しているため、ブランドロゴ、アイコン、マーク等の正規メール視認性向上を行い、利用者へ十分に啓発を行ってください。 S/MIME は不正な署名ファイルを添付したメールが確認されているため、利用する場合は検証方法を十分に周知するとともに、検証できない環境を利用している利用者のために、ブランドロゴ、アイコン、マーク等の併用を検討してください。

Android スマートフォンユーザーがアカウントを作成するケースが多い大手メールサービスの Gmail は「メール送信者のガイドライン」を公開しており、2024年6月以降、このガイドラインに準拠しないメールはAndroidスマートフォンユーザーに届いていない可能性があります。 Gmail ユーザーに大量の正規メールを送信している場合は要件を満たしているか、送信ドメイン認証状況に問題ないか等を、Postmaster Tools や DMARC レポートで十分に確認してください。また、大手のドコモでは今後 DMARC 未対応メールおよび p=none には警告表示を行う、と発表しており、いま一度、自組織から送る正規メールの DMARC が設定不備によりエラーとなっていないか確認してください。
日本政府も 6 月の犯罪対策閣僚会議において詐欺対策としての DMARC への対応促進を発表しており、今後、DMARC 正式運用はメールセキュリティーにおける基本的な要件となると考えられます。 DMARC 未対応、対応未計画の送信者は p=none のモニタリングモードでの DMARC 対応を開始し、quarantine そして reject へのポリシー強化を計画し実施してください。

詐取された認証情報の不正利用への対策として、パスキーなど ID/パスワード以外の認証方法追加など、認証強化を検討してください。オンラインでのクレジットカード決済に対応している EC 加盟店は、2025 年 3 月末までに EMV 3-Dセキュアへの対応が要請されているのでご確認ください。
SMS 認証併用の際にはスミッシング対策として、「0005」で始まる国内モバイルキャリア共通の SMS 発信用の共通番号（共通ショートコード) 等を使う、正規メッセージには URL は記載しない、認証コードのメッセージにその事由や本物の入力画面照合のためのキーワードを記載する等を検討し、利用者にはそれらを確認するよう、啓発を行ってください。

利用者のみなさまへ

大量のフィッシングメールが届いている場合は、そのメールアドレスが漏えいしていることを意味します。

漏えいした情報は犯罪者間で売買され、消すことができません。参考情報の「なりすまし送信メール対策について : 送信ドメイン認証に対応するメリット」を参考に、正規メールにアイコンが表示されるなどのフィッシング対策機能が強化されているメールサービスに新たにメールアドレスを作成し、オンラインサービスへ登録しているメールアドレスを切り替えていくことを検討してください。

スマートフォンを利用している場合は、パスワードマネージャーを使うと、いつも使っているサイトやアプリのパスワードを自動入力してログインできます。また利用しているサービスがパスキーに対応している場合は、利用することでいつも利用している端末から安全にログインできるようになります。自動でログインできない場合は、いつも利用しているサイトではなく、フィッシングサイトの可能性があります。普段からログインを促すようなメールや SMS を受信した際は、送信ドメイン認証でアイコンが表示された正規メールであるかを確認したり、正規のアプリやブックマークした正規の URL からサービスへログインして情報を確認してください。

詐取または漏えいした情報が不正利用された際に、身に覚えがない決済や登録変更の通知や SMS 認証コードが届くことがあります。送信ドメイン認証でアイコンが表示された正規メールや正規の SMS 送信元電話番号の場合は、サービスのサポート窓口へ対応について相談してください。

また初めて利用するサイトの場合は、運営者情報や問い合わせ先などを確認し、フィッシングや詐欺事例等がないか確認するようにしてください。

Android スマートフォンの場合はスミッシングから不正アプリ (マルウェア等) のインストールへ誘導される可能性があるため、日頃から SMS のリンクからのアプリのインストールは行わないよう、注意するとともに Google Play プロテクトや正規のウイルス対策アプリ等で不正なアプリ (マルウェア等) をインストールしていないか確認してください。

情報提供のお願い

フィッシングか否かの判断に迷う不審なメールや SMS を受け取った場合は、各サービス事業者の問い合わせ窓口やフィッシング対策協議会 (info@antiphishing.jp) まで、ご報告ください。【報告方法】はこちら

2025年1月
日	月	火	水	木	金	土
			1	2	3	4
5	6	7	8	9	10	11
12	13	14	15	16	17	18
19	20	21	22	23	24	25
26	27	28	29	30	31

取手通信 （日刊 ）・希望の星

価値の創造