自社ブランドを騙る類似ドメイン ― 顧客が被害に遭う前に見つける
自社ブランドを騙る類似ドメインは、SIEMにもWAFのログにも現れません。顧客が被害に遭う前に見つけるDRPの使い方を、画面の見方とともに解説します。
自社ブランドを騙る類似ドメイン ― 顧客が被害に遭う前に見つける
月曜の朝、コールセンターから報告が上がります。すでに送金してしまったお客様がいる、と。きっかけは「お客様の口座は一時的に凍結されました。本人確認をお願いします」というメッセージのリンクでした。開いた先のページには自社のロゴがあり、色もフォントも同じ、ボタンの位置まで同じ。違っていたのはURLだけで、ハイフンが一つ多く入っていました。
SIEMを確認しても何も出ません。WAFのログを見ても、不審なリクエストは一件も届いていません。
当然です。そのサイトは自社のシステムに一度も触れていないのですから。他人のサーバーでホストされ、他人の名義で登録され、こちらのシステムを何一つ侵害しないまま顧客から金銭を奪っていったわけです。
偽サイトを立てるコストは驚くほど低い
経済的な条件は完全に攻撃者側に有利です。新規ドメインは数百バーツ程度、TLS証明書はLet's Encryptから数分で無料取得できます。つまり偽サイトにも本物と同じようにアドレスバーの鍵アイコンが表示されます。「入力する前に鍵マークを確認しましょう」という注意喚起は十年以上繰り返されてきましたが、その助言はとうに賞味期限切れです。
本物のドメインを zcr.ai と仮定すると、実際によく使われる手口は次のとおりです。
| 手口 | 見た目 | なぜ引っかかるのか |
|---|
| タイポスクワッティング | zrc.ai | 目は文字列を流し読みする。一文字ずつ順序を確認する人はいない |
| ホモグリフ | zcr.ai の c がラテン文字ではなくキリル文字の с | スマートフォンの画面では、凝視しても区別がつかない |
| TLDの差し替え | zcr.top、zcr-ai.shop、zcr.online | ブランド名の綴りは完全に正しいので本物に見える |
| 信頼感のある語を追加 | zcr-secure-login.com、verify-zcr.net | secureやverifyという語が、かえって公式らしさを演出する |
| サブドメインによる偽装 | zcr.ai.account-check.xyz | 人は左から読むため、ブランド名を見た時点で読むのをやめる |
どれ一つとして高度な技術を必要としません。ドメインを買い、ページを複製し、SMSやLINEでリンクを撒く。それだけです。
顧客より先に気づけないのはなぜか
多くの組織が持っているセキュリティ製品は、自社が所有するものを見張る前提で設計されているからです。
SIEMは自社システムのログを集め、EDRは自社従業員の端末を監視し、WAFは自社サイトに向かうトラフィックを検査します。三つとも設計どおりに正しく動いています。ただし、いずれも境界の外側を見ることはできません。そして類似ドメインは、登録された瞬間から境界の外側にあります。
結果として、情報が届く唯一の経路が「顧客からの苦情」になります。それはすでに誰かが金銭を失ったという意味です。Digital Risk Protectionが境界防御の製品とは別の層に位置づけられるのは、このためです。DRPは自社の名前で外側に起きていることを監視します。ダークウェブ上の情報漏えい監視やインターネットに露出した攻撃対象領域の可視化と同様、CTEMが外側からカバーする領域の一つです。
類似ドメインは単独で現れない
多くのチームがつまずくのは、類似ドメインを単発の事案として扱ってしまう点です。見つけたらtakedownを申請して終わり、という流れです。
ところが実際には、一つのドメインはもっと大きな作業の一片にすぎません。フィッシングを商売として運用するグループは、ドメインをまとめて登録し、メール送信用にMXレコードを設定し、同じphishing kitを繰り返し展開して使い回します。一つ潰しても、数時間後には別のものが立ち上がります。
「偽ドメインを一件見つけた」と「このドメインが誰のもので、他に何件あるかを把握している」の間には大きな差があります。蚊を一匹ずつ叩いているのか、ボウフラの湧いている水たまりを見つけたのか、という差です。
zcrCTEMのDRP画面には何が表示されるのか
zcrCTEMのDigital Risk Protection画面には Actor watchlist というパネルがあり、"Alias, threat posture, targeting, and campaign intelligence for monitored adversaries" と説明が付いています。上部のカードには "Monitored for phishing, fraud, and campaign overlap" と短く添えられています。
各行はグループ名を挙げるだけではありません。何をしているか、誰を狙っているか、今も動いているかまで示されます。1行に載っている項目は次のとおりです。
- アクターIDと別名 ― グループを追跡するための呼び名
- 深刻度とステータス ― そのグループをどれほど深刻と評価しているか、活動中か監視のみか
- カテゴリのタグ ― 金銭目的、スパイ活動、ハクティビズムなど
- TTPs ― グループが使う手口。該当すればフィッシングキットの展開やスピアフィッシングも含まれる
- 標的と出自 ― どの業種を狙い、どこから活動していると見られているか
- キャンペーン数とIOC数、最終確認日 ― どれだけの活動と指標がそのグループに紐づいているか（記録がある場合）
キャンペーン数とIOC数がグループ名にぶら下がっていることの価値は、次に出てくる問いが変わる点にあります。手元の偽ドメインがこのグループの指標のどこかに出てくれば、「この一件をどう止めるか」ではなく「このグループの他のキャンペーンには何があるのか」を先に問うことになる。後者のほうが、かける時間に対して得られるものがはるかに大きい問いです。
偽ドメインと関係があるとみなす前に、TTPsの項目を読んでください。国内の標的に関心があるという理由でリストに載っているグループは、TTPsにフィッシングが含まれていなくても載ります。そうした行が示しているのは偽ドメインの話ではなく、もう少し広い話です。タイの組織にとって実用になるwatchlistは、国内の標的に関心を持つグループを含んでいなければならない ― 世界的に名前の知られたAPTの一覧を借りてきて並べるだけでは足りない、ということです。
（zcrCTEMのデモはサンプルデータで動いており、特定の顧客環境の事例ではありません。上記は各行に何が載っているかの説明であり、実際にどのグループが存在するかを示すものではありません）
実際のシステムでブランド悪用と攻撃者グループの監視がどう動くかは、EASM・CAASM・DRPを一つのプラットフォームにまとめたzcrCTEMでご確認いただけます。
見つけた後にできること、そしてできないこと
ここは誤解が多いので、はっきり書いておきます。
実際にできること
- まず証拠を漏れなく確保する。 偽サイトのスクリーンショット、WHOIS、IPアドレス、ホスティング事業者、TLS証明書。これらはregistrarやホスティング事業者が必ず求める材料です。揃っていなければ最初の一歩で止まります。
- takedownを申請する。 registrar、ホスティング事業者、および関係するCERTへ。
- 攻撃者が大量配信を始める前に顧客へ告知する。 1時間以内に実行できるため、takedownより価値が高い場面もあります。
- IOCを自社の検知基盤に取り込む。 自動対応の仕組みがすでにあるなら、フィッシング対応playbookにそのまま接続できます。
できないと認めるべきこと
- 検知できてもドメインがすぐ消えるわけではない。 zcrCTEMを含め、どのDRP製品も検知と証拠の取りまとめまでが役割です。実際にサイトを停止させるにはregistrarやホスティング事業者の協力が必要で、対応が速い事業者もあれば、申請がほとんど通らない管轄もあります。
- 一つ閉じても次が立つ。 ドメイン一つの取得費用は数百バーツです。根絶できるわけではありません。できるのは偽リンクが生きている時間を短くすること、言い換えれば被害に遭う人数を減らすことです。
- 顧客がリンクを踏むこと自体は防げない。 ここは広報と啓発の領域であり、どの製品も肩代わりできません。
これが自社の課題である兆候
- 金融、決済に関わる、あるいは顧客向けのログイン機能を持っている
- 日常的にSMSやLINEで顧客に連絡している（攻撃者が模倣できる文面の型を渡していることになる）
- ブランド名に似た名前のドメインが今いくつ存在するか答えられない
- 顧客から「このサイトは御社のものですか」と聞かれ、確認しないと答えられなかったことがある
- 偽サイトの通報を受けたことはあるが、誰が受け付け、どう証拠を残し、どこへ送るかの手順が決まっていない
二つ以上当てはまるなら、頼っているのはプロセスではなく運です。
既存のツールには何が見えているのか
| ツール | 類似ドメインが見えるか | 理由 |
|---|
| SIEM | 見えない | 自社システムのログしか読まない。トラフィックが一度も通っていない |
| WAF | 見えない | 本物のサイトに届くものを検査する。見た目を複製したサイトは対象外 |
| EDR | 一部見える | 自社の従業員がリンクを踏んだ場合のみ。顧客が踏んだ場合は見えない |
| Email gateway | 一部見える | 組織宛の受信メールは検査するが、フィッシングの多くはSMSやLINEで届く |
| DRP（CTEM内） | 見える | 組織の外側から見る。ブランド悪用、悪性URL、監視対象の攻撃者グループの動きが対象 |
どれも間違っているわけではなく、見ている方向がそれぞれ違うだけです。外向きの一本を足すのにどの程度の費用がかかるかは、プラン一覧をご覧ください。
zcrCTEMのアプローチ
zcrCTEMは、外側からの視点を一つのプラットフォームにまとめています。インターネットに露出した資産にはEASM、内部資産にはCAASM、そしてブランド悪用・漏えい兆候・ダークウェブ露出・テイクダウン対応にはDRP。前述のActor watchlistパネルは、その上に乗るcampaign intelligenceの層にあたります。どのグループが動いていて、いくつのキャンペーンとIOCが紐づいているかを示す部分です。
ここで一つ知っておく価値があるのは、特定製品の機能ではなく公開された仕組みのほうです。certificate transparencyログには、CAが発行したすべての証明書が登録されます。類似ドメインがTLS証明書を取得すれば、最初のリンクが顧客に届くより前に痕跡が残るということです。誰でも検索できるので、製品を検討する前にまず自分で手を動かしてみたい場合の出発点にもなります。
すべてのモジュールを同時に有効化する必要はありません。DRPから始めるのは妥当な選択で、その理由は宣伝文句ではなく実務的なものです。DRPは資産の棚卸しが終わっていなくても機能します。一方のEASMは、自社が何を持っているかを把握しているほど結果の精度が上がります。
お問い合わせ
自社のブランド名に似たドメインが今どれだけ存在するのか、気になりませんか。無料でご相談いただけますので、お気軽にお問い合わせください。
出典
- Let's Encrypt — よくある質問 — Let's EncryptがTLS証明書を無料で発行し、ドメイン確認プロセスが完全に自動化されていることを確認
- Certificate Transparency — How CT Works — 主要ブラウザ（Chrome、Safari）がCTログ由来のSigned Certificate Timestampを証明書の信頼条件としていることを説明。実務上CAは発行する証明書をCTログへ提出することが事実上必須となっている