フィッシング報告件数
2021 年 10 月にフィッシング対策協議会に寄せられたフィッシング報告件数 (海外含む) は、前月より 1,213 件減少し、48,740 件となりました。
2021 年 10 月のフィッシングサイトの URL 件数 (重複なし) は、前月より 782 件増加し、7,418 件となりました。
2021 年 10 月のフィッシングに悪用されたブランド件数 (海外含む) は、前月より 1 件増加し、77 件となりました。
2021 年 10 月のフィッシング報告件数は 48,740 件となり、9 月と比較すると 1,213 件減少しました。
フィッシングサイトの URL 件数
フィッシングに悪用されたブランド件数
総評
Amazon をかたるフィッシングは報告数全体の約 28.2 % を占めており、次いで メルカリ、三井住友カード、ETC 利用照会サービス、楽天をかたるフィッシングの報告も含めた上位 5 ブランドで、報告数全体の約 66.6 % を占めました。また 1,000 件以上の大量の報告を受領したブランドは 11 ブランドあり、これら上位 11 ブランドでは全体の約 83.2% を占めました。
フィッシングに悪用されたブランドは 77 ブランドでした。クレジット・信販系は 20 ブランドとなり、前月に引き続きクレジットカードブランドをかたるフィッシングが多く、都市銀行やネット銀行など金融系ブランドは 6 ブランドでした。
ISP やホスティング事業者については 13 ブランドで、メールアカウントや管理アカウントの認証情報 (ID/パスワード) の詐取が目的と思われるフィッシングの報告数が増えており、不正なメール配信に使われている可能性があります。また、モバイルキャリアをかたるフィッシング報告が前月より約 28.9 % 増えました。その他、新規ブランドとしてコンビニエンスストアや旅行予約サイトをかたるフィッシングの報告がありました。
ショートメッセージ (SMS) から誘導されるフィッシングについては、Amazon、au、ドコモをかたる文面のものが多く報告されています。SMS はメールと比較すると、本物と誤認したり、ついアクセスしてしまう傾向があるため、注意が必要です。また、au、ドコモをかたる SMS および宅配便の不在通知を装う SMS については不正なアプリ (マルウェア等) のインストールへ誘導されるケースが確認されています。Android スマートフォンを利用している場合は、日頃から Google Play プロテクトや正規のウイルス対策アプリ等で不正なアプリ (マルウェア等) をインストールしていないか確認してください。
フィッシング以外では、前月に引き続きビットコインを要求する脅迫メール (セクストーションメール) の報告が多数、寄せられました。メールは過去に漏えいした情報をもとに送られているケースも確認されているため、長らくパスワードを変更していないサービスがある場合は、パスワード変更を行い、パスワードを使いまわししないよう、ご注意ください。また不審なアルバイト募集メールの報告が増えています。このような迷惑メールは無視して削除してください。
10 月も送信元メールアドレスに正規サービスのドメインを使用した「なりすまし」送信メールの報告を多数、受領しました。
ある調査用メールアドレス宛に 10 月に届いたフィッシングメールのうち、約 89.6 % がメール差出人に正規のメールアドレス (ドメイン) を使用した「なりすまし」フィッシングメールでした。現在、日本で普及している送信ドメイン認証技術 SPF のみ使用した場合、SPF=fail で検出できたものは約 46.5 %、SPF=softfail (受信側では素通し) が約 40.1 %、SPF=none または permerror (設定ミス) で検出できないものは約 9.5 %でした。また、送信元 IP アドレスの調査では、前月に引き続き CN の事業者からの大量配信が多く、調査用メールアドレスへの配信では約 90.1 % を占めました。
メール文面に違和感のない見破ることが困難なフィッシングメールでも、送信元メールアドレスと DMARC の検証結果の確認、あわせて迷惑メールフィルターを使用することで、検出ができるものが多いことを確認しています。事業者は送信元メールアドレス (ドメイン) を利用者へ掲示するとともに、ドメイン=ブランドであることを認識し、最低限 SPF と DMARC でドメインを保護して、DMARC レポートでなりすまし送信を検知することを検討してください。
また、フィッシング報告の多くは、受信時に送信ドメイン認証 DMARC の検証を行っていない国内 ISP およびモバイルのメールサービス利用者から寄せられています。DMARC 検証＋迷惑メールフィルターを提供しているメールサービス利用者からの報告は少ないため、大量の「なりすまし」メールを排除できていると考えられます。
メールサービスを提供している ISP やモバイル事業者は、DMARC 検証＋迷惑メールフィルターを利用者へ提供することを検討してください。現時点で大量のフィッシングメールを受信している利用者は、DMARC 検証と迷惑メールフィルターが利用できるメールサービスを使用することを検討してください
普段からログインを促すようなメールや SMS を受信した際は、正規のアプリやブックマークした正規の URL からサービスへログインして情報を確認するよう、心がけてください。またクレジットカード情報や携帯電話番号、認証コード、口座情報、ワンタイムパスワード等の入力を要求された場合は、入力する前に一度立ち止まり、もし、入力した情報が裏で即時に不正利用された場合には、何が起こるかを考え、似たようなフィッシングや詐欺事例がないかを確認するようにしてください。 特に初めて利用するサイトの場合は、運営者情報や問い合わせ先なども確認し、実在する組織の場合は他に (本物の) サイトかあるかどうか、また詐欺事例等がないかを確認するようにしてください。
フィッシングか否かの判断に迷うメールや不審なメールを受け取った場合は、各サービス事業者の問い合わせ窓口やフィッシング対策協議会 (info@antiphishing.jp) まで、ご報告ください。
【報告方法】はこちら
参考情報
さくらインターネットをかたるフィッシング (2021/10/04)
https://www.antiphishing.jp/news/alert/sakurainternet_20211004.html
お名前.com をかたるフィッシング (2021/10/04)
https://www.antiphishing.jp/news/alert/onamae_20211004.html
メルカリをかたるフィッシング (2021/10/06)
https://www.antiphishing.jp/news/alert/mercari_20211006.html
ファミリーマートをかたるフィッシング (2021/10/15)
https://www.antiphishing.jp/news/alert/familymart_20211015.html
Xserver をかたるフィッシング (2021/10/18)
https://www.antiphishing.jp/news/alert/xserver_20211018.html