フィッシング報告件数

2023 年 5 月にフィッシング対策協議会に寄せられたフィッシング報告件数 (海外含む) は、前月より 20,857 件増加し、113,789 件となりました。

フィッシングサイトの URL 件数

2023 年 5 月のフィッシングサイトの URL 件数 (重複なし) は、前月より 2,239 件減少し、18,991 件となりました。

フィッシングに悪用されたブランド件数

2023 年 5 月のフィッシングに悪用されたブランド件数 (海外含む) は、前月より 18 件増加し、110 件となりました。

総評

2023 年 5 月のフィッシング報告件数は 113,789 件となり、2023 年 4 月と比較すると 20,857 件、約 22.4 % 増加しました。
ファミペイ をかたるフィッシングの報告は報告数全体の約 21.5 % となり、次いで各 1 万件以上の報告を受領した セゾンカード、Amazon、イオンカードをかたるフィッシングの報告をあわせると、全体の約 60.0 % を占めました。また、1,000 件以上の大量の報告を受領したブランドは 18 ブランドあり、これらで全体の約 89.1 % を占めました。
分野別では、クレジット・信販系 約 38.3 %、決済サービス系 約 21.9 %、EC 系 約 15.8 %、金融系 10.7 %、交通系 約 4.8 %、オンラインサービス系 約 3.7 %、公共サービス系 約 2.1 % となり、クレジット・信販系と決済サービス系が増加、EC 系は減少傾向となりました。
フィッシングに悪用されたブランドは 110 ブランドでした。金融系 25 ブランド、クレジット・信販系 25 ブランド、通信事業者・メールサービス系 13 ブランド、EC 系 9 ブランド、決済サービス系 5 ブランド、オンラインサービス系 5 ブランド、運送系 5 ブランドとなり、特に金融系ブランドの増加が目立ちました。

SMS から誘導されるフィッシング (スミッシング) については、前月に引き続き、金融系ブランドをかたる文面が増加しました。また宅配便関連の不在通知を装う文面から Apple をかたるフィッシングサイトへ誘導するタイプの報告も、多く受領しています。また、Amazon、モバイルキャリアをかたる文面の報告も続いています。

2023 年 5 月のフィッシングサイトの URL 件数は 18,991 件となり、2023 年 4 月と比較すると 2,239 件減少しました。
報告数が増加したにもかかわらず、URL 件数が減った要因としては、4 月まで多かった短縮 URL や CDN 事業者のサービスを悪用した URL など、使用回数の少ない URL 数が減少し、同一 URL の使いまわしが増えたためと考えられます。
報告された URL 全体の TLD 別では .cn が約 32.9 %、次いで .com 約 28.0 %、.top 約 17.9 %、.cyou 約 4.8 %、.asia 約 4.1 % となり、.cn が急増しました。

ある調査用メールアドレス宛に 5 月に届いたフィッシングメールのうち、約 91.9 % がメール差出人に実在するサービスのメールアドレス (ドメイン) を使用した「なりすまし」フィッシングメールであり、非常に多い状況が続いています。
送信ドメイン認証技術 DMARC のポリシーが reject または quarantine で、フィルタリング可能な なりすましフィッシングメールは 14.6 %と激減、DMARC ポリシーが none または DMARC 対応していないドメインのなりすましフィッシングメールは 77.4 % と急増し、DMARC 正式運用していない組織が集中的に狙われる傾向となりました。また独自ドメインが使われるなど、送信ドメイン認証では判別ができないフィッシングメールは約 8.1 % となりました。
調査用メールアドレスへ配信されたフィッシングメールの送信元 IP アドレスの調査では、全体の約 94.6 % が CN の通信事業者からの配信であり、うち、特定のクラウドサービスからの配信が約 66.7 % となりました。また国内通信事業者からのフィッシングメールは、約 2.8 ％ を占めました。また、逆引き (PTR レコード) 設定がされていない IP アドレスからの送信は約 99.0 % を占めました。迷惑メール対策として、送信元 IP アドレスには PTR レコードが必要、としている大手メールサービスもあります。

5 月はフィッシング報告数が過去最高となりました。さまざまなブランドをかたるフィッシングメールが多数、配信されており、フィッシングに悪用されたブランド件数が増えました。特に金融機関を狙う傾向は続いており、5 月に認知した新規ブランド 11 件のうち、8 件が金融機関でした。また、これまで非常に報告が多かった Amazon の報告数および全体に占める割合が大きく減っており、4 月下旬に送信ドメイン認証結果をパスした正規メールの視認性を向上する技術すべてに対応した効果が考えられます。しかし代わりに DMARC 未対応ブランド (ドメイン) のフィッシングメールの報告が、非常に多い状況が続きました。

また、ポイント還元に関する内容や、本物のメールマガジンの内容をコピーしてリンクを差し替えたフィッシングメールなど、さまざまなタイプの文面の報告が増えています。メールマガジンであっても利用者へメールを送信する場合は必ず DMARC で保護したドメインを使用し、ポリシーを reject にして正規メールのみが届くようにしてください。また「事業者のみなさまへ」を参考に、正規メールの視認性向上を検討してください。

フィッシング以外では、偽ブランド品の販売サイトへ誘導する不審なメールの報告が急増しました。また EC ブランドのポイント還元と称して不正なアプリのインストールへ誘導するメール等の報告が寄せらせました。Android スマートフォンの場合は、日頃から SMS やメールのリンクからのアプリのインストールは行わないよう、注意するとともに Google Play プロテクトや正規のウイルス対策アプリ等で不正なアプリ (マルウェア等) をインストールしていないか確認してください。

事業者のみなさまへ

メールサービスを提供している通信事業者は、DMARC ポリシーに従ったメールの配信を行うとともに、迷惑メールフィルターをユーザーへ提供し、利用を促してください。
オンラインサービスを提供している事業者は DMARC でドメインを保護してください。また DMARC ポリシーが none のモニタリングモードでは、受信側でフィルタリングされず、効果がありません。DMARC レポートを分析し、正規メールが DMARC 検証を pass していることを確認しながら、ポリシーを quarantine または reject に変更してください。また、メール配信に使っていないドメインがある場合は、不正に利用されないよう、明示的に reject ポリシーを設定しておくことが重要です。

なりすましではない、独自ドメインで送られるフィッシングメールへの対策としては、正規メールを視認しやすくする対策が効果的です。そのような技術およびサービスとしては Gmail や Apple iCloud メール (iOS16 で対応) で使える BIMI や Yahoo!メールブランドアイコン、ドコモメール公式アカウント等があります。参考情報の「なりすまし送信メール対策について : 送信ドメイン認証に対応するメリット」を参考に、これらの技術やサービスの利用を検討したり、すでに対応済みの場合は、ユーザーに正規メールにこれらのアイコンやマークがついていることを周知して、安全なメールサービスを利用することを啓発してください。

企業においては、メールセキュリティ製品や大手クラウドメールサービスは DMARC が利用できます。なりすまし送信によるフィッシングやマルウェア攻撃への対策の一つとして、送受信ともに DMARC 正式運用 (ポリシーを reject または quarantine に設定し、受信時はポリシーに従ってメールを排除) に移行することを検討してください。

送信ドメイン認証を運用中の注意事項としては、メール配信サービスを追加したり、ネットワーク設備を統廃合するうちに、DNS に登録されている送信ドメイン認証の設定値が無効となる場合があります。 特に多いのは SPF のエラーであり、さまざまなプロモーションメール配信を行う部門を持つ大手事業者で発生しているケースがよく見られます。定期的にチェックサイトで確認したり、DMARC レポートで送信メールが正常に判定されているか等、監視を行ってください。

利用者のみなさまへ

大量のフィッシングメールが届いている場合は、そのメールアドレスが漏えいしている事実を認識し、参考情報の「なりすまし送信メール対策について : 送信ドメイン認証に対応するメリット」を参考に、正規メールにアイコンが表示されるなどのフィッシング対策機能が強化されているメールサービスに新たにメールアドレスを作成し、オンラインサービスへ登録しているメールアドレスを切り替えていくことを検討してください。
フィッシングサイト経由などで漏えいしてしまった携帯電話番号や個人情報をもとに、さまざまなサービスへログインしようとしたり、キャリア決済やキャッシュレス決済サービスを不正利用するケースが報告されています。身に覚えがないタイミングで認証コード通知 SMS などが届いた時は、パスワード変更したり、決済サービスの使用履歴などを確認してください。

また、普段からログインを促すようなメールや SMS を受信した際は、正規のアプリやブックマークした正規の URL からサービスへログインして情報を確認し、クレジットカード情報や携帯電話番号、認証コード、口座情報、ワンタイムパスワード等の入力を要求された場合は、入力する前に一度立ち止まり、本当に必要な手続きなのか、その入力先サイトが本物かを確認してください。特に初めて利用するサイトの場合は、運営者情報や問い合わせ先などを確認し、似たようなフィッシングや詐欺事例等がないか、確認するようにしてください。

情報提供のお願い

フィッシングか否かの判断に迷う不審なメールや SMS を受け取った場合は、各サービス事業者の問い合わせ窓口やフィッシング対策協議会 (info@antiphishing.jp) まで、ご報告ください。 【報告方法】はこちら

今月の緊急情報

  Apple をかたるフィッシング (2023/05/02)
     https://www.antiphishing.jp/news/alert/apple_20230502.html

  大和ネクスト銀行をかたるフィッシング (2023/05/08)
     https://www.antiphishing.jp/news/alert/daiwa_20230508.html

  横浜銀行をかたるフィッシング (2023/05/08)
     https://www.antiphishing.jp/news/alert/boy_20230508.html

  りそな銀行をかたるフィッシング (2023/05/10)
     https://www.antiphishing.jp/news/alert/resona_20230510.html

  福井銀行をかたるフィッシング (2023/05/12)
     https://www.antiphishing.jp/news/alert/fukugin_20230512.html

  セゾンカードをかたるフィッシング (2023/05/12)
     https://www.antiphishing.jp/news/alert/saisoncard_20230512.html

  国税庁をかたるフィッシング (2023/05/15)
     https://www.antiphishing.jp/news/alert/nta_20230515.html

  メルカリをかたるフィッシング (2023/05/15)
     https://www.antiphishing.jp/news/alert/mercari_20230515.html

  楽天ラクマをかたるフィッシング (2023/05/15)
     https://www.antiphishing.jp/news/alert/rakuma_20230515.html

  みなと銀行をかたるフィッシング (2023/05/22)
     https://www.antiphishing.jp/news/alert/minatobank_20230522.html

  秋田銀行をかたるフィッシング (2023/05/24)
     https://www.antiphishing.jp/news/alert/akitabank_20230524.html

参考情報

  なりすまし送信メール対策について : 送信ドメイン認証に対応するメリット
     https://www.antiphishing.jp/enterprise/domain_authentication.html#advantages