攻撃者はいかにしてフィッシングサイトを隠すか？（インターンシップ体験記） - NTT Communications Engineers' Blog
はじめに こんにちは、ドコモグループのサマーインターンシップ2023に参加した河井です。 普段は大学院で暗号理論の研究をしています。 この記事では、私がこのインターンシップで取り組んだことについて紹介します。 セキュリティ系インターンシップに興味のある人の参考になれば幸いです。 はじめに NA4Sec PJの紹介 インターンシップ概要 脅威検証：攻撃インフラの秘匿 セキュリティに関するクローキングとは サーバ側のクローキングの実装 IPアドレスによるクローキング RefererとUser-Agentによるクローキング 脅威検証：攻撃インフラの構築 OAuth 2.0のデバイス認可付与（RFC8628）とは 認可フローを悪用した攻撃 フィッシング攻撃の検証 おわりに 参考文献 NA4Sec PJの紹介 まずは、私がお世話になったNA4Sec PJについて紹介します。 正式にはNetwork
auじぶん銀行のフィッシングSMSが届いた
3日前に、auじぶん銀行の巧妙な不正出金についてYouTube動画を公開しました。みんな見てねー。 auじぶん銀行アプリに対する不正出金の驚くべき手口 そうしたところ、先程私のiPhoneに以下のようなSMSが届きました。 ふーん、au自分銀行のときは宅配事業者を装ったSMSということでしたが、これはどうなんでしょうね。開いてみると… 詐欺サイトの警告が出ていますが、構わずに開いてみると… きたきたきたー。これですよ。auじぶん銀行のフィッシング（SMSの場合はスミッシングと言いますが）サイトのようですよー。「閉じる」をタップすると… うーむ、これがauじぶん銀行の本物のフィッシングサイトですよ。これかー。僕が作った偽サイトよりもきちんと作ってありますねー（笑い）。ちなみに、本物のauじぶん銀行サイトはこちら。 よく似ていますね。お客様番号とログインパスワードの欄は共通ですが、偽物の方は暗
フィッシング対策視点から考えるメールやSMS通知のあり方 - r-weblife
こんばんは、ritouです。 令和の時代においても、フィッシング攻撃はメール、SMS共に存在します。 だいぶ普及してきたみんな大好きワンタイムパスワードでもフィッシングに対しては脆弱です(FIDOにしましょう)。 フィッシング攻撃への現状の対策はどうかというと、メール自体の検証、メールにあるURLの表示と実際のリンクの差異、URLが正規のものかを確認することは素人になればなるほど困難です。 SMSならばURLはテキストそのものだから安心かもしれませんが、そもそも正規のメッセージに偽物が混ざってきたらわかりません。 ということで、今回は「メールやSMSにできるだけURLや電話番号などを記載するのを避けよう。」という話です。 主張 例えばこの記事 keepmealive.jp それならば対策は二つだけ 1. SMSに書かれているURLは原則としてクリックしない 2. どうしてもクリックする必要
Googleカレンダーを悪用したフィッシングを回避する方法
Fossbytesは2019年6月24日(米国時間)、「Google Calendar Being Used For Phishing: How To Stay Safe From This Hack」において、最近は、Googleカレンダーの通知機能などを悪用したフィッシング攻撃が見られると伝えた。 フィッシングメールの危険性に対する理解が進んだこともあり、以前ほどだまされるユーザーは減ってきているが、Googleカレンダーアプリなどのユーザーが信頼しているアプリを通じてだます攻撃が増えており、注意が必要と指摘している。 Googleカレンダーは、ユーザーが好む好まないにかかわらず、初期設定で入力されたイベントが表示されるようになっている。この挙動を悪用したフィッシング攻撃が増えている。 記事では、この挙動に関しては設定を変更することで回避が可能であり、次の方法で設定を無効にできると説明
ゼロからはじめるフィッシング対策 🎣
# ゼロからはじめるフィッシング対策 🎣 2 min read... フィッシング対策協議会 (opens new window)によれば、2018年上半期に報告されたフィッシングの件数は2017年下半期の月平均と比較して1.6倍に増加しているそうです。 (source: https://www.antiphishing.jp/news/pdf/apcseminar2018apc.pdf) この記事では、増加するフィッシングに対して効率的に対応するため、ドメイン名を起点にフィッシングサイトを見つけ、それを報告するまでの流れについて紹介します。 # 前段 フィッシングをしかける攻撃者は、紛らわしいドメイン名(タイポスクワッティング / typosquatting)を用意し、そこにターゲットを誘導します。 例として、Apple ユーザーを標的にしたフィッシングサイトのドメイン名を以下に示しま
詐欺サイトを見つけた場合の通報先など - 家庭内インフラ管理者の独り言（はなずきんの日記っぽいの）
先日、友人 id:ohesotori がマイクロソフトのサポートを装った詐欺に遭遇したが、通報先が探しにくいわ！という話をしていたので、以前調べてメモしていたものをブラッシュアップして公開することにした。 マイクロソフトのサポートを装った詐欺について ちなみに、マイクロソフトのサポートを装った詐欺は既にマイクロソフト社によって注意喚起が公開されているため、どんな詐欺なの？という方は事前にチェックをしておくことをお勧めしておきます。 知っておけば、対応あるからね。 マイクロソフトのサポートを装った詐欺にご注意ください - News Center Japan(マイクロソフト) 本画面が表示されたお客様は、「Ctrl」「Alt」「Del」の3つのキーを同時に押して「タスクマネージャー」を起動してブラウザーソフトを選択し、「タスクを終了」してください。偽警告画面を閉じることができます。 こんな感じ
GoogleやMicrosoftなど15社、フィッシング撲滅を目指す「DMARC.org」を立ち上げ
米Googleや米Microsoftをはじめとする大手電子メールサービスおよび技術関連企業など15組織が、スパムやフィッシングメールの撲滅に取り組む技術作業部会「DMARC.org」の立ち上げを現地時間2012年1月30日に発表した。発信元を偽装した詐欺電子メールを排除し、送信者と受信者間で正当なメッセージの確実なやりとりを実現するためのDMARC（Domain-based Message Authentication、Reporting ＆ Conformance）仕様ドラフトの策定などに注力する。 DMARC.orgにはGoogleとMicrosoftのほか、米Yahoo!、米AOL、米Bank of America、米Fidelity Investments、米eBay傘下のPayPal、米American Greetings、米Facebook、米LinkedIn、米AGARI、米
マルウエアのフィッシング・ネットワーク拡大策
「How Malware Expands A Phishing Network」より September 26，2008 posted by Elad Sharf，Nicolas Brulez，Security Researcher 米ウェブセンスのセキュリティ・ラボでは，Webベースの脅威からユーザーを保護する「ThreatSeeker」で日常的に疑わしいURLを記録している。2008年9月中旬にこれらURLを詳しく調べたところ，スパム・メールに記載されたURLから手に入る興味深いファイルに気付いた。ThreatSeekerがこのスパムと思われる怪しいメッセージを隔離し開始したため，このURLの先にある問題のファイルを調査し，何か興味をそそる点がないか確認してみることにした。 このURLは，メキシコの電話会社クラロのプロモーション（自動車が当たる懸賞）を案内する，スペイン語のスパム・メー
不正アクセスを知ったのは「警察からの連絡」が73％ - ワークスタイル - nikkei BPnet
不正アクセスを知ったのは「警察からの連絡」が73％ （須藤 慎一＝ライター） 警察庁は、2008年8月22日に「平成20年度警察白書」を閣議に報告した（9月1日段階では本文は未掲載、図表のみ見られる）。 不正アクセスの被害に遭ったことを知ったきっかけに注目だ（不正アクセス行為の認知の端緒）。被害者の73％が、警察からの連絡で初めて知ったという。 被害に遭っても気がつかないのは、被害者だけに原因があるのではない。Webサービスやプロバイダーなどが、「気付き」の仕組みを提供していないのが原因だろう。 警察白書からIT犯罪の実態を読み取る 警察白書によると、平成19年度に警察が認知した不正アクセスの件数は1818件、検挙件数は1438件だった。 不正アクセスを知ったきっかけは、1位が「警察活動」で1326件（不正アクセス件数の73％、以下同様）、2位が「利用権者からの届出」で415
金融高度化セミナー資料
金融高度化セミナー「金融機関における情報セキュリティの高度化に向けて」 インターネットバンキングを 取り巻く犯罪動向 日本銀行 決済機構局 中山靖司 1 （参考）預金者保護法（2005年8月成立 、2006年2月施行） ▽預金者に故意・重過失があれば、補償されない（金融機関に立証責任） ▽預金者に故意・重過失のない場合の取扱い 取引形態 （個人預金者の取引） カ 偽造 ｜ 盗 ド 難 預金者に故意・過失のない場合 預金者に過失がある場合（金融機関に立証責任） 新法 100％補償 100％補償 75％補償 新法の対象外（注） 窓口取引、インターネットバンキング （注） 新法の附帯決議では、政府、金融機関その他の関係者は、例えば、インターネット バンキングにかかる犯罪等については、「速やかに、その実態の把握に努めその防 止策および預貯金者等の保護のあり方を検討し必要な措置を講ずるこ
SnijhS aguseg ITpro
「ドメイン名の所有者情報だけじゃ物足りない」，「フィッシング・サイトでないかどうかを確かめるためにWebサイトの情報を洗いざらい調べたい」という場合は，aguse.netを試してみよう。aguse.netは，調査したいサイトのURLや受信したメールのヘッダーを入力することにより，関連する情報を表示するサービスを提供している。 例えばWebサイトのURLを指定すると，ドメイン名情報のほか，Webサイトのページ写真から，実際に表示されるURL，サーバーの所在地までを表示してくれる（写真1）。サーバーの所在地は地図付きの画像で表示してくれる。これらの情報は，aguseが独自に集めた情報で，Webページ画像は7日ごとに取得している。 写真1●WebサイトのURLを指定すると，ドメイン名情報のほか，Webサイトのページ写真から，実際に表示されるURL，サーバーの所在地までを表示 [画像のクリックで拡
14歳少年が使ったフィッシング詐欺の手口
14歳の少年が偽装した「ヘルプ・お問い合わせ」画面の一部。偽ページでは上部フレームを表示していなかったほか、URL部分も偽装していなかったという。 警視庁ハイテク犯罪対策総合センターと池袋署は2006年5月30日、NHN Japanが運営するオンラインゲーム「ハンゲーム」のページを装い、フィッシング行為を行ったとして、名古屋市内に住む14歳の少年を、不正アクセス禁止法違反と著作権違反の疑いで書類送検した。 少年が作成した偽ページは同社の「ヘルプ・お問い合わせ」画面の一部。ハンゲームに無料登録したユーザーは、アバター（サイト内で自分の代わりをつとめるキャラクター）を持つことができるが、少年はこのアバターをまず偽装。通常、同社の運営スタッフしか利用できない「STAFF」と描かれた背景を使い、同社のスタッフになりすました。 そのうえで、ハンゲームを利用しているユーザーに対し、「ゲーム内で違反した
海の向こうの“セキュリティ” - 第5回：アンチフィッシングツールの検知能力、米大学が比較実験 ほか
今回も前回に引き続き、フィッシングの話題です。 ■アンチフィッシングツールの検知能力、米大学が比較実験 最近ではWebブラウザに「アンチフィッシング」機能を追加するアドオンや、ブラウザ自体にその機能があるものが増えてきています。読者の皆さんの中にも既にご利用になられている方もいるかと思いますが、では、数多く存在するアンチフィッシング機能を提供するツール （以降「アンチフィッシングツール」と表記） の中でどれが最も「性能」が良いのでしょうか？ 今回は、カーネギーメロン大学から2006年11月に公開された、アンチフィッシングツールの性能比較を行なった実験に関する論文「Phinding Phish: An Evaluation of Anti-Phishing Toolbars」を紹介したいと思います。この論文ではアンチフィッシングツールのうち、広く使われている以下の10種類について、フィッシン
スウェーデンの銀行が「史上最大の」オンライン銀行窃盗の被害に
スウェーデンの銀行NordeaはZDNet UKの取材に対し、700万クローナから800万クローナ（約1億2000万〜1億4000万円）の被害を受けたと説明した。セキュリティ会社McAfeeはこれをオンライン銀行で発覚した「史上最大の」窃盗と呼んでいる。 Nordeaによると、同銀行の顧客は過去15カ月間にわたり、トロイの木馬を含んだ電子メールの標的になっていたのだという。 トロイの木馬が潜んだフィッシング電子メールの標的となったNordeaは、250人の顧客が詐欺にあったと推測している。McAfeeによると、スウェーデンの警察当局は事件の背後にロシアの犯罪組織がいると考えているという。現在、121人が関与を疑われている。 McAfeeによると、攻撃は、銀行の名前をかたったメールで顧客にトロイの木馬を送ることから始まるのだという。このなかで攻撃者は「スパム対策」アプリケーションをダウンロー
企業価値を高める新メールソリューション：山村元昭氏インタビュー
●日々送りつけられてくる迷惑メール（迷惑メール）は急速に増え続け、その対応のために仕事の作業効率が大きく低下させられるだけでなく、ネット詐欺などの被害も広がり、大きな社会問題にまでなりつつある。 ●増え続ける迷惑メールの背景には、迷惑メールの“送信装置”である「ボット（bot）」自体が増えているという現実がある。これらがインターネットを利用した詐欺行為へとつながっており、そのための犯罪組織がグローバルに形成されているという。 ●メールという、今やビジネスはもちろんプライベートにも欠かせない利便性の高いツールの信頼性を揺るがせかねないボットを使った迷惑メールを主とする犯罪の最新動向について、国産で先進のセキュリティ製品開発に取り組む株式会社セキュアブレインの取締役副社長執行役員兼CTOである山村元昭氏に詳しく話を聞いた。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
フィッシング詐欺に引っかかった直後に行いたいリカバリーの心得【被害事例に学ぶ、高齢者のためのデジタルリテラシー】
フィッシング対策協議会 Council of Anti-Phishing Japan | フィッシングフィル
フィッシング対策協議会
gred｜安全なサイトはgreen、危険なサイトはredでお知らせ。無料のWeb安全チェックサービスといえばグレッド！
http://www1.iwate-ed.jp/kakusitu/joho/material/joho_site/index.html