2021年上半期フィッシングサイトのドメインを独自に分析、頻出単語はAmazon
~フィッシングサイトのドメイン上位の多くは安価・無料で取得可能~
情報セキュリティメーカーのデジタルアーツ株式会社（本社：東京都千代田区、代表取締役社長：道具 登志夫、以下 デジタルアーツ、証券コード2326）は、2021年上半期に収集した国内外のフィッシングサイトURLのドメインを集計したレポートを公開したことを発表いたします。新型コロナウイルスの感染拡大に伴い、外出自粛でインターネット通販の利用が増加したことなどを背景にフィッシングサイトは増加傾向※1にあります。また、ワクチン接種や特別定額給付金を騙るなど新型コロナの話題に便乗しフィッシングサイトに誘導する手口も確認されています。
デジタルアーツでは、日々さまざまなWebサイトについて調査・収集を行っております。今回、デジタルアーツは、2021年上半期（1～6月）に確認した国内外のフィッシングサイトURLのドメインを集計しました（※IPアドレス形式のURLは除く）。なお、本レポートで扱うドメインについては、【図1】のように定義しています。
【図1】ドメインの定義
フィッシングサイトのドメインに頻出する文字はAmazonが最多、通販や銀行、支払いなどに関連する単語も上位
独自ドメインとサブドメインの「設定・取得可能な文字列部分」において、できる限り意味のある単語や文字列で分割し、それぞれを集計したところ、（ダイナミックDNSやWebホスティングサイト利用の場合は、独自ドメインではなくサブドメイン文字列部分である設定可能な文字列のみを集計）1位は「Amazon」となりました。
そのほか、通販サイトや銀行、支払いに関連する単語、Webメールやセキュアなログインで使われる単語などが多くランクインしています。「.co.jp」「.com」のランクインは、これらがTLD（トップレベルドメイン）で使われたものではなく、サブドメインとして使われたためです。
独自ドメインとサブドメインの「設定・取得可能な文字列部分」において、できる限り意味のある単語や文字列で分割し、それぞれを集計したところ、（ダイナミックDNSやWebホスティングサイト利用の場合は、独自ドメインではなくサブドメイン文字列部分である設定可能な文字列のみを集計）1位は「Amazon」となりました。
そのほか、通販サイトや銀行、支払いに関連する単語、Webメールやセキュアなログインで使われる単語などが多くランクインしています。「.co.jp」「.com」のランクインは、これらがTLD（トップレベルドメイン）で使われたものではなく、サブドメインとして使われたためです。
【図2】2021年上半期 フィッシングサイトドメイン文字列トップ20
フィッシングサイトのTLDは「xyz」や「tk」などが多く、これらは安価・無料でドメイン取得可能
世界のTLDの数は、IANA※2のRoot Zone Databaseによると、2021年8月時点で1589種類あります。Trancoのトップサイトランキング約500万ドメインをもとに、2021年8月9日時点のTLDを集計したところ、【図3】のように世界のTLDシェアは1位の「com」は53.74%と半数以上を占め、2位が「org」で4.44%、3位は「ru」の4.09%と続きました。「jp」は全体の0.80%程度でした。
デジタルアーツが収集した【図4】のフィッシングサイトのドメインでは、世界のTLDシェアと比較して1位、2位は同じですが、3位以下では「xyz」や「tk」など、安価もしくは無料でドメイン取得可能なTLDが多くランクインしています。
【図3】世界のTLDシェア
【図4】2021年上半期フィッシングサイトのTLDシェアトップ20
フィッシングサイトの独自ドメインは無料のWebホスティングサービスやダイナミックDNSサービスのドメインが上位
デジタルアーツが収集した【図5】のフィッシングサイト独自ドメインでは、上位に無料のWebホスティングサービスやダイナミックDNSサービスのドメインがランクインしています。これらのサービスは、誰でも「サブドメイン」を作成して利用できるため、攻撃者に悪用されてしまっている状況です。フィッシングサイトは取得した独自ドメインを使い捨てにすることも多いですが、無料サービスのサブドメインも悪用しています。
中でも2位の「duckdns.org（3.43%）」は、TLDにorgを使ったフィッシングサイトの過半数を占めていました。国内で被害が多発している【図6】のような偽SMS（ショートメッセージサービス）を用いたフィッシングで頻繁に確認されています。下位のドメインはランクインしていてもシェア率は小さく、フィッシングサイト全体としては独自ドメインを取得しては使い捨てにしているため、何度も同じドメインを使い回さないので集計しても分散されてしまうからだと考えられます。
【図5】2021年上半期フィッシングサイト独自ドメイントップ20
【図6】宅配便業者をかたる偽のSMS
サブドメインを使っていないフィッシングサイトが半数以上、一方でブランド正規ドメインをサブドメインとして利用も
サブドメインの文字列（サブドメインから独自ドメインを除外した部分）のみを集計したところ、サブドメインを使っていないものが半数以上であることがわかりました。しかしながらサブドメインを使っていたものでは、【図7】のように、ブランド名をサブドメインにするだけでなく、ブランドの正規ドメインをサブドメインとして利用するものが多く確認できます。正規ドメインから数文字を変更したようなものもあります。
【図7】2021年上半期 フィッシングサイトサブドメイン文字列トップ20
※1 フィッシング対策協議会の報告によると、2019年12月のフィッシングサイトURL件数は2178件でしたが、コロナ禍の2020年3月には4136件となりました。以降、フィッシングサイトURL件数は毎月4000件～6000件を推移しつつ、2021年8月には9024件となっています。
https://www.antiphishing.jp/report/monthly/202108.html
※2 IANAはドメイン名、IPアドレス及びAS番号、各プロトコルで使われるプロトコル名及び番号といったインターネット資源を管理していた組織。インターネット基盤資源を世界規模で管理・調整するために設立された非営利公益法人ICANNに引き継がれ、現在、IANAはICANNにおける機能の名称として使われています。
https://www.iana.org/domains/root/db
▶デジタルアーツのi-FILTERはフィッシングサイトのURLをブロック
デジタルアーツでは日々様々な情報をもとにデータの収集を行っています。「i-FILTER」Ver.10では、フィッシングサイトのURLはフィルターデータベースへと迅速に配信され、[フィッシング詐欺]や[違法ソフト・反社会行為]カテゴリにてブロック可能です。また、ダイナミックDNSでの悪性利用状況を鑑み、カテゴリテンプレートの基本設定では「ダイナミックDNS」カテゴリを「ブロック」としています。フィルターデータベースに反映されていないURLについても「ホワイト運用」を行うことで、デジタルアーツが安全を確認したURLにのみアクセスを許可し未知のフィッシングサイトや悪性URLをブロックすることができます。さらに「クレデンシャルプロテクション」機能では、正規のサイトと判別が困難な改ざんサイトに設置されたフィッシングサイトであっても、ユーザーがID・パスワードを送信しようとした際にこれをブロックすることが可能です。
■セキュリティ対策の新定番「ホワイト運用」
「i-FILTER」 クレデンシャルプロテクション https://www.daj.jp/bs/i-filter/
▶2021年上半期フィッシングサイト ドメイン集計のレポートはこちら
以下、弊社コーポレートサイト上にて公開しております。
■セキュリティレポート「2021年上半期フィッシングサイト ドメイン集計」
https://www.daj.jp/security_reports/210922_1/
■プレスリリース「コロナ便乗詐欺やフィッシング詐欺が横行」
https://www.daj.jp/webtopics/16/
デジタルアーツが収集した【図5】のフィッシングサイト独自ドメインでは、上位に無料のWebホスティングサービスやダイナミックDNSサービスのドメインがランクインしています。これらのサービスは、誰でも「サブドメイン」を作成して利用できるため、攻撃者に悪用されてしまっている状況です。フィッシングサイトは取得した独自ドメインを使い捨てにすることも多いですが、無料サービスのサブドメインも悪用しています。
中でも2位の「duckdns.org（3.43%）」は、TLDにorgを使ったフィッシングサイトの過半数を占めていました。国内で被害が多発している【図6】のような偽SMS（ショートメッセージサービス）を用いたフィッシングで頻繁に確認されています。下位のドメインはランクインしていてもシェア率は小さく、フィッシングサイト全体としては独自ドメインを取得しては使い捨てにしているため、何度も同じドメインを使い回さないので集計しても分散されてしまうからだと考えられます。
【図5】2021年上半期フィッシングサイト独自ドメイントップ20
【図6】宅配便業者をかたる偽のSMS
サブドメインを使っていないフィッシングサイトが半数以上、一方でブランド正規ドメインをサブドメインとして利用も
サブドメインの文字列（サブドメインから独自ドメインを除外した部分）のみを集計したところ、サブドメインを使っていないものが半数以上であることがわかりました。しかしながらサブドメインを使っていたものでは、【図7】のように、ブランド名をサブドメインにするだけでなく、ブランドの正規ドメインをサブドメインとして利用するものが多く確認できます。正規ドメインから数文字を変更したようなものもあります。
【図7】2021年上半期 フィッシングサイトサブドメイン文字列トップ20
※1 フィッシング対策協議会の報告によると、2019年12月のフィッシングサイトURL件数は2178件でしたが、コロナ禍の2020年3月には4136件となりました。以降、フィッシングサイトURL件数は毎月4000件～6000件を推移しつつ、2021年8月には9024件となっています。
https://www.antiphishing.jp/report/monthly/202108.html
※2 IANAはドメイン名、IPアドレス及びAS番号、各プロトコルで使われるプロトコル名及び番号といったインターネット資源を管理していた組織。インターネット基盤資源を世界規模で管理・調整するために設立された非営利公益法人ICANNに引き継がれ、現在、IANAはICANNにおける機能の名称として使われています。
https://www.iana.org/domains/root/db
▶デジタルアーツのi-FILTERはフィッシングサイトのURLをブロック
デジタルアーツでは日々様々な情報をもとにデータの収集を行っています。「i-FILTER」Ver.10では、フィッシングサイトのURLはフィルターデータベースへと迅速に配信され、[フィッシング詐欺]や[違法ソフト・反社会行為]カテゴリにてブロック可能です。また、ダイナミックDNSでの悪性利用状況を鑑み、カテゴリテンプレートの基本設定では「ダイナミックDNS」カテゴリを「ブロック」としています。フィルターデータベースに反映されていないURLについても「ホワイト運用」を行うことで、デジタルアーツが安全を確認したURLにのみアクセスを許可し未知のフィッシングサイトや悪性URLをブロックすることができます。さらに「クレデンシャルプロテクション」機能では、正規のサイトと判別が困難な改ざんサイトに設置されたフィッシングサイトであっても、ユーザーがID・パスワードを送信しようとした際にこれをブロックすることが可能です。
■セキュリティ対策の新定番「ホワイト運用」
「i-FILTER」 クレデンシャルプロテクション https://www.daj.jp/bs/i-filter/
▶2021年上半期フィッシングサイト ドメイン集計のレポートはこちら
以下、弊社コーポレートサイト上にて公開しております。
■セキュリティレポート「2021年上半期フィッシングサイト ドメイン集計」
https://www.daj.jp/security_reports/210922_1/
■プレスリリース「コロナ便乗詐欺やフィッシング詐欺が横行」
https://www.daj.jp/webtopics/16/
