韓国の金融機関を装うフィッシングサイトが6月初旬にようやく姿を消し、6月に観測された国内偽サイトも大幅な減少となった。オンラインバンクとオンラインゲームのアカウントを狙ったフィッシングは相変わらず続いており、引き続き注意が必要だ。
■6月の国内フィッシング概要
4月から約2か月間にわたって続いていた、国内ISPのアクセス回線を使った韓国の金融機関を装うフィッシングサイトが、6月初旬にようやく姿を消した。この間に国内で開設された偽サイトは、確認できたものだけでも5ブランド86サイトにのぼる。
韓国金融機関の偽サイトが消滅したおかげで、6月に観測された日本国内に関係するフィッシングサイト（国内IP、JPドメイン、国内ブランド、日本語サイト）は57件と、5月から27件の大幅な減少となった。57件のうち、偽サイト本体が設置されていたものは36件、残り21件は、他所に開設した偽サイトにリダイレクトする、中継サイトとして使用された。
悪用されたサーバーは、ホスティングサービスが20件（国内サーバー9件）、ウイルスに感染したユーザーのパソコンや自宅のサーバーとみられるものが19件（全て国内）、不正アクセスを受けた一般のWebサイトとみられるもの18件（国内サイト15件）だった。
悪用されたブランドは計23ブランドで、うち国内ブランドは計4ブランド13件。相変わらずオンラインバンクとオンラインゲームのアカウントを狙ったフィッシングが続いており、引き続き注意が必要だ。
■「中継サイト」が過去1年間で最多に
6月は、フィッシングの中継サイトが多数見つかった。21件（全体の37％）は、件数、割合ともに過去1年間での最高値だ。
中継サイトを使ってメール記載のリンクと実際のサイトのURLを違える手法は、国内では出会い系サイトなどの迷惑メールで、サイトの所在を隠ぺいするためによく用いられている。国内のユーザーを狙ったフィッシングでの使用例はそれほどないが、海外のフィッシングでは、この手法がよく用いられている。
中継サイトの使い方には、リダイレクト先と1対1で対応するもの、大量の中継サイトを一か所または数か所のサイトに集約するもの、リダイレクト先数か所をランダムに選択して転送するものなどいろいろあり、複数の中継サイトや短縮URLと組み合わせたものも多い。
複数のサイトを使用する構成では、どこか一か所潰れるだけで誘導先に行き着くことができなくなってしまうため、かえって短命に終わってしまうとも考えられる。実際、偽サイト本体よりも先に中継サイトが排除されてしまうこともあるが、全体的には、偽サイト本体の閉鎖が率先される傾向にあるようだ。生き残ったリダイレクタを新たな偽サイトにリダイレクトするように更新し、フィッシングを続けるケースもしばしば見かける。
ちなみに過去1年間（2011年7月1日～2012年6月30日）の国内関連のフィッシングサイトの7月30日現在の削除率は、偽サイト本体が約99％（残骸7件）なのに対し、中継サイトは約90％（残骸11件、リダイレクト先はいずれも削除済み）となっている。
■新手のURL量産型フィッシング：通報を無駄にする「延命策」に
海外のフィッシングで目についたものに、偽サイト本体のURLが絶えず変化するタイプがある。これまでにも、パラメータを変化させる、サイト内に予め大量の偽サイトを設置する、大量のドメインを投入する、サブドメインを大量に生成するなどの方法で、URLの量産に励んできたフィッシャーたちだが、今回見つかったのは、偽サイトを格納するフォルダをダイナミックに変えて行くタイプだ。
サイトのデザインや挙動の異なる、複数の偽サイト構築キットが出回っているようだ。大きく分けると、一定時間ごとに偽サイトを格納したフォルダが変わるタイマー型と、アクセスするたびにフォルダが変わるオンデマンド型に分類できるだろうか。変化後は、過去のフォルダが消滅する移動型と、過去のフォルダを残したまま増殖して行くコピー型があり、オンデマンド/コピー型の偽サイトの中には、偽サイトのフォルダが数千個に増殖し、ディスクスペースが容量オーバーになっていたところもあった。
これら新手のフィッシングサイトでは、最終的に開く偽サイトのURLが変化してしまうため、そのページを通報してサイトブロックや削除処置をしてもらっても、ほとんど意味がない。過去のフォルダを残さない移動型の場合には、通報を受けた側が閲覧した時にはページが存在せず、対処すらしてもらえない可能性もある。
この種のフィッシングサイトでは、最終的なランディングページを開く前に、偽サイトの新規作成や新規サイトへのリダイレクトを処理するための一定のページを経由する。このページを通報すれば、行き違いはなくなるのだが、このページは一瞬で通過してしまい、別の中継サイトと組み合わせた場合には気がつかないことも多い。新手のURL量産型フィッシングサイトは、サイトの延命策のひとつになってしまうのかもしれない。
（2012/7/31 ネットセキュリティニュース）