フィッシング報告件数

2024 年 8 月にフィッシング対策協議会に寄せられたフィッシング報告件数 (海外含む) は、前月より 11,299 件減少し、166,556 件となりました。

フィッシングサイトの URL 件数

2024 年 8 月のフィッシングサイトの URL 件数 (重複なし) は、前月より 47,177 件増加し、85,768 件となりました。

フィッシングに悪用されたブランド件数

2024 年 8 月のフィッシングに悪用されたブランド件数 (海外含む) は、前月より 5 件減少し、68 件となりました。

総評

2024 年 8 月のフィッシング報告件数は 166,556 件となり、2024 年 7 月と比較すると 11,299 件減少となりました。

Amazon をかたるフィッシングは前月より 1 割近く増加し、報告数全体の約 20.2 % を占めました。次いで各 2 万件以上の大量の報告を受領した イオンカード、ヤマト運輸、東京電力をかたるフィッシングの報告をあわせると、全体の約 62.7 % を占めました。また 1,000 件以上の大量の報告を受領したブランドは 16 ブランドとなり、これらを合わせると全体の約 89.9 % を占めました。

分野別では、報告数全体に対する割合は、クレジット・信販系 約 37.7 %、EC 系 約 22.9 %、配送系 約 13.8 %、電力・ガス・水道系 約 12.4 %、金融系 約 7.8 %となり、前月と比較するとクレジット・信販系、金融系が急増、EC 系が増加となりました。
フィッシングに悪用されたブランドは 68 ブランドとなり減少しました。クレジット・信販系 14 ブランド、通信事業者・メールサービス系 12 ブランド、金融系 9 ブランド、オンラインサービス系 ６ ブランド、EC 系 5 ブランド、電力・ガス・水道系 3 ブランド、配送系 3 ブランドとなりました。

SMS から誘導されるフィッシング (スミッシング) については、東京電力をかたる文面の報告を多く受領しました。また、前月 7 月以降、それまで多かった宅配便の不在通知を装うスミッシングの報告が激減しています。 スミッシングへの対策については、「事業者のみなさまへ」「利用者のみなさまへ」を参考にしてください。

2024 年 8 月のフィッシングサイトの URL 件数は 85,768 件となり、2024 年 7 月と比較すると 47,177 件、約 2.2 倍となりました。 大量メール配信を行うタイプはサブドメインにランダム文字列を使った URL からの誘導が多く、URL 数が急増しました。
報告全体の URL（重複あり）の TLD 別では .cn 約 46.9 %、次いで .com が約 35.6 %、.net 約 2.6 %、.TOP 約 2.4 % となり、.cn ドメイン名および .com ドメイン名の悪用が多い状況が続いています。 前月と同様にいくつかの .cn ドメイン名は、サブドメインを付加してフィッシングメールに記載する「使い捨て」リダイレクト用 URL として使われており、報告数の約 38.8 %、URL 件数の約 71.9 % を占めました。 報告回数が 1,000 回以上のドメイン名を含む URL が報告全体のなかで占める割合は 約 38.6 % となり、ドメイン名によるフィルターの効果が期待できますが、報告回数 10 回以下は 約 17.8 %、 20 回以下は 約 25.3 % となっており、再利用回数が少ないドメイン名については URL フィルター以外の対策も必要と考えられます。
また前月に引き続き、独自ドメイン名を悪用するケースが非常に多い状況でしたが、クラウドサービスや CDN サービスで付与できるサービス標準のドメイン名や、短縮 URL やリダイレクト機能があるサービスを不正利用するケースも再び増加傾向となりました。

ある調査用メールアドレス宛に 8 月に届いたフィッシングメールのうち、約 77.1 % がメール差出人に実在するサービスのメールアドレス (ドメイン名) を使用した「なりすまし」フィッシングメールであり、「なりすまし」送信が急増しました。
送信ドメイン認証技術 DMARC のポリシーが reject (認証失敗したメールは受信拒否) または quarantine (認証失敗したメールを迷惑メールフォルダー等へ隔離) で、フィルタリング可能な なりすましフィッシングメールは約 63.5 % と増加傾向となり、DMARC ポリシーが none (認証失敗したメールも素通しして受信) または DMARC 対応していないドメイン名のなりすましフィッシングメールは約 13.5 % と減少傾向となりました。独自ドメイン名による非なりすましメール配信は約 22.9 %、そのうち DMARC に対応して認証成功 (dmarc=pass) したメールは約 75.5 % となり、非なりすましメールの送信ドメイン認証への対応率が上がっています。現状、利用者への連絡手段としてメールを送信する事業者は DMARC への対応がほぼ必須となっており、送信者ドメイン名と DMARC による認証結果は正規メールか否かの判断基準の一つとなっています。
逆引き (PTR レコード) 設定がされていない IP アドレスからの送信は約 84.1 % となり、多い状況が続いています。Gmail 送信者ガイドラインでも逆引き設定は対応必須となっており、特に大量配信される不正メールは送信元 IP アドレスに逆引き設定がされていないケースが多いため、メールサービスを運用している場合は、正規メールか否かの判定基準の一つとして、そのようなメールを受け取らないことを検討してください。

前月に引き続き 8 月も大量のフィッシングメールが配信され、多くの報告を受領しました。 フィッシングの対象ブランドとは無関係の特定の事業者のメールアドレスをかたるフィッシングメール大量配信が続いており、当該事業者はドメイン名の DMARC ポリシーを none から quarantine に変更しました。 しかし reject ではないため迷惑メールフォルダーへの配信は続いており、受信時に DMARC ポリシーに沿った処理を行っていないメールサービスや事業者も多いため、なりすましメールの配信および報告が続きました。
前月と同様に、正規のキャンペーンメールやお知らせメールをコピーしてリンクを差し替えたフィッシングメールが配信されており、このようなメールは違和感に気付きにくいため、送信ドメイン認証により正規メールにのみ表示されるロゴ、アイコン、マーク等や S/MIME による電子署名等などがなければ判別が困難になっています。
また、件名から迷惑メールフィルターで検知されたと判断できる報告メールは全体の約 2 割でした。迷惑メールフィルター等の検知を回避しようとする試みが続いており、メール文面に非表示のゴミ文字列や正規の URL を混ぜたり、Unicode 文字列で URL を記載したり、URL の BASIC 認証情報 (フィッシングサイトアクセス時には不要となる) 部分にランダム文字列を記載するなどのほか、８ 月はメール内に QR コードを埋め込み、誘導するフィッシングメールの報告を多数、受領しました。

フィッシング以外では、8 月 8 日に発生した地震に関する災害義援金募集を装う不審なメールが 8 月10 日頃から大量に報告されています。その他、テストメールの配信を装う不審なメール、不審な仕事 (アルバイト) の募集、モバイルキャリア等をかたった当選通知、ブランド模造品の販売サイトへの誘導、仮想通貨での支払いを要求する脅迫メール (セクストーションメール) の報告が多く寄せられました。このようなメールから誘導されたサイトで詐欺被害に遭った場合は、最寄りの警察署へ相談、情報提供を行ってください。

事業者のみなさまへ

DMARC ポリシーが quarantine/reject のドメイン名をかたるフィッシングメールが大量に利用者へ届いています。メールサービスを提供している通信事業者は、DMARC ポリシーに従ったメールの配信を行い、迷惑メール対策を強化してください。また、ウェブメールやメールアプリなどでは送信ドメイン認証の検証状況を利用者が認識できるよう、検証結果に基づいた警告表示ならびに検証対象としたドメインの表示を検討してください。
オンラインサービスを提供している事業者は、DMARC レポートで正規メールが利用者に届いていることを確認しながら、最終的にポリシーを reject に変更し、なりすましメールが受信者に届かないようにしてください。

送信ドメイン認証を運用中の注意事項としては、メール配信サービスを追加したり、ネットワーク設備を統廃合するうちに、DNS に登録されている送信ドメイン認証の設定値が無効となる場合があります。特に多いのは SPF のエラーであり、さまざまなプロモーションメール配信を行う部門を持つ大手事業者で発生しているケースがよく見られます。定期的にチェックサイトで確認したり、DMARC レポートで送信メールが正常に判定されているか等、監視を行ってください。

不正メールを排除し、正規メールのみを確実に利用者に届けるため、大手メールサービスの Gmail が 2023 年 10 月に「メール送信者のガイドライン」を公開しており、6 月以降、5,000通/日以上の一括送信者は DMARC 対応必須となっています。DMARC ポリシーは none でも可ですが、この場合、なりすましメールが利用者に届き、申告される迷惑メール率が下がらない可能性があります。メール送信ログのエラーや DMARC レポート、Gmail の Postmaster Tools を確認し、問題が見つかった場合は調査および改善を行い、正規メールの到達性を維持するために最終的にポリシーを reject にすることを検討してください。
またモバイル大手のドコモでは 10月以降 DMARC 未対応メールには警告表示を行う、と発表しています。これは送信数の多少に関わらず、すべての送信者が対象となるため、いま一度、自組織から送る正規メールの DMARC が設定不備によりエラーとなっていないか確認してください。日本政府も 6 月の犯罪対策閣僚会議において詐欺対策としての DMARC への対応促進を発表しており、今後、DMARC 正式運用はメールセキュリティにおける基本的な要件となると考えられます。DMARC 未対応、対応未計画の送信者は、DMARC ポリシー none のモニタリングモードでの DMARC 対応を開始し、quarantine/reject へのポリシー強化を検討してください。

スミッシング対策としては、「0005」で始まる国内モバイルキャリア共通の SMS 発信用の共通番号（共通ショートコード) 等を使うこと、正規メッセージにはURLは記載しないこと、認証コードのメッセージにその事由や警告を記載する等を検討し、利用者にはそれらを確認するよう、啓発を行ってください。

利用者のみなさまへ

大量のフィッシングメールが届いている場合は、そのメールアドレスが漏えいしていることを意味します。漏えいした情報は犯罪者間で売買され、消すことができません。参考情報の「なりすまし送信メール対策について : 送信ドメイン認証に対応するメリット」を参考に、正規メールにアイコンが表示されるなどのフィッシング対策機能が強化されているメールサービスに新たにメールアドレスを作成し、オンラインサービスへ登録しているメールアドレスを切り替えていくことを検討してください。
フィッシングサイトに入力した情報を、犯罪者が裏で本物のサイトへ入力し、SMS 認証コード等も詐取して二要素認証を突破して、登録情報を変更したり、不正利用するケースが確認されています。身に覚えがない決済や登録変更の通知がきた場合は、送信ドメイン認証でアイコンが表示されている等、正規メールであるかを確認した上で、サービスのサポート窓口へ対応について相談してください。

普段からログインを促すようなメールや SMS を受信した際は、正規のアプリやブックマークした正規の URL からサービスへログインして情報を確認し、クレジットカード情報や携帯電話番号、認証コード、口座情報、ワンタイムパスワード等の入力を要求された場合は、入力する前に一度立ち止まり、本当に必要な手続きなのか、その入力先サイトが本物かを確認してください。特に初めて利用するサイトの場合は、運営者情報や問い合わせ先などを確認し、似たようなフィッシングや詐欺事例等がないか、確認するようにしてください。

Android スマートフォンの場合はスミッシングから不正アプリ (マルウェア等) のインストールへ誘導される可能性があるため、日頃から SMS のリンクからのアプリのインストールは行わないよう、注意するとともに Google Play プロテクトや正規のウイルス対策アプリ等で不正なアプリ (マルウェア等) をインストールしていないか確認してください。

情報提供のお願い

フィッシングか否かの判断に迷う不審なメールや SMS を受け取った場合は、各サービス事業者の問い合わせ窓口やフィッシング対策協議会 (info@antiphishing.jp) まで、ご報告ください。 【報告方法】はこちら

今月の緊急情報

  全国労働金庫協会 (ろうきん) をかたるフィッシング (2024/08/26)
     https://www.antiphishing.jp/news/alert/rokin_20240826.html

  QR コードから誘導するフィッシング (2024/08/28)
     https://www.antiphishing.jp/news/alert/qr_20240828.html

参考情報

  NTTドコモ: ドコモメールにフィッシング詐欺対策を目的とした 「なりすましメールの警告表示機能」を導入
～フィッシング詐欺の可能性がある不審なメール開封時に警告を表示～
     https://www.docomo.ne.jp/binary/pdf/info/news_release/topics_240522_00.pdf

  政府会議: 令和6年6月18日 第39回 犯罪対策閣僚会議 国民を詐欺から守るための総合対策
     https://www.kantei.go.jp/jp/singi/hanzai/dai39/39gijisidai.html

  なりすまし送信メール対策について : 送信ドメイン認証に対応するメリット
     https://www.antiphishing.jp/enterprise/domain_authentication.html#advantages

  Gmail : Email sender guidelines (英語版)
     https://support.google.com/mail/answer/81126?hl=en

  Gmail : Email sender guidelines FAQ (英語版)
     https://support.google.com/a/answer/14229414?hl=en

  Gmail : メール送信者のガイドライン (最新のアップデートが反映されていないため、英語版も参照してください)
     https://support.google.com/mail/answer/81126?hl=ja

  Gmail : Postmaster Tools を使ってみる
     https://support.google.com/mail/answer/9981691

  JPAAWG: Google & 米国Yahoo!の迷惑メール対策強化について
     https://connpass.com/event/304457/