Thread Intelligence のプラットフォームを提供することで知られているAnomali社より、政府系の調達機関を装い認証情報を窃取しようとする攻撃に関するレポート記事が公開されました。

www.anomali.com

記事中で述べられている調達機関は、買い手と売り手を結びつける組織だと定義されています。

今回、攻撃者がフィッシングサイトを装った対象として、米国の機関が50件以上で最も多かったようです。ただ、今回特に気になったのは、日本の経済産業省を装ったフィッシングも観測されていて、その数は6件と、カナダの7件に次ぐ3番目に多かったことです。

以下の通り、フィッシングメールに付与されている、ドキュメントはその国の言語に対応した形で作られています。

そして、画像中のリンクをクリックすると、フィッシングサイトにつながるよう、細工されています。 xyzドメインは明らかに政府のサイトではないですからね。

上記の通り、ドメインは正規サイトに似せたような命名を行うとのことです。

例えば、アメリカ合衆国商務省の例でいうと、正規サイトが「www.commerce.gov」ですが、フィッシングサイトは「commerce.gov.***********.40-71[.]xyz」です。

攻撃者が用意するサイトと証明書

サイトはいずれもcPanelによって発行されたDV証明書が用いられているとのことです。

ちなみに、Webサイトで用いられる証明書の種類とその違いについては、以下のリンクなどで紹介されているので、ご参考まで。

shared-blog.kddi-web.com

www.geotrust.co.jp

読んでいただくとわかる通り、DV証明書の信頼度は、3種類のうち最も信頼度が低いものです。

そういえば、最近、こんなツイートが話題になっていましたね。

鍵マークのついた https なら大丈夫、という方もいますが、https で利用される SSL (正確にはその後継であるTLS) は、二者間の接続を安全にする (第三者に情報を盗まれない) ことが主目的で、接続している先が詐欺集団でないことを示すものではありません。
— Kazushi Nagayama 🗿 長山一石 (@KazushiNagayama) 2019年12月4日