RSA Quarterly Fraud Report Vol.110
EMCジャパン株式会社 RSA事業本部
フィッシングという言葉が1996年に出現して以来、手口は進化し続けており、被害総額と被害者数は上昇の一途をたどっています。RSAは2003年よりオンライン犯罪対策サービス「RSA FraudAction」を提供しており（国内提供は2006年から）、トロイの木馬などマルウェア攻撃を検知し、フィッシングサイトを閉鎖しています。FraudActionの中核であるAFCC（Anti-Fraud Command Center：不正対策指令センター）は、今年で設立16年目を迎え、フロード・アナリストが24時間365日体制で数カ国語を駆使してマルウェア解析、犯罪手口の解明に従事しています。
本ニュースレターは、AFCCが定期的に公開しているインテリジェンスレポートからフィッシングやオンライン犯罪情報、統計情報をまとめたものです。犯罪者による金銭などの経済的な利得を目的とした攻撃、消費者を標的とした攻撃に関するデータと、RSA(R) Fraud & Risk Intelligenceチームによる分析を掲載しています。多様な業種、規模の消費者にサービスを提供している企業が効果的なデジタルリスクマネジメントを実現するために役立つサイバー犯罪環境のスナップショットです。（2019年第3四半期版： 2020年1月31日発行）
犯罪の攻撃傾向： 2019年第3四半期
攻撃のタイプ別発生状況
2019年第3四半期、RSAは全世界で55,484件の不正行為を検出しました。うち、フィッシング攻撃の総件数は全体の43%を占める約23,800件で、前四半期比で約6%の増加となりました。ソーシャルメディア上での不正やブランドの悪用は、全体の17%を占め、前期から変化がありません。
出典: RSA(R) Fraud & Risk Intelligence Service、2017年10月 - 2019年9月
フィッシングの攻撃対象となった国
カナダ（51％）とスペイン（9％）、オランダ（8％）、米国（8％）が、フィッシング攻撃に狙われた上位4ヵ国で、全体の76%を占めました。
カナダは第3四半期においても、引き続き最も多く標的となった国となり、受けた攻撃件数は前四半期比で45%増加しました。また、フィリピンにおける攻撃件数も43%も急増しました。一方で、スペインとインドでは攻撃件数が減少しました。スペインにおけるフィッシング攻撃は19%、インドについては38%減少しています。
出典: RSA(R) Fraud & Risk Intelligence Service、2017年10月 - 2019年9月
フィッシング攻撃がホストされた国
オランダと英国が圏外に消え、代わりに中国と香港が復帰しました。マレーシアは、第3四半期の攻撃全体の約8％を占めて、全体の2位となっています。
出典: RSA(R) Fraud & Risk Intelligence Service、2017年10月 - 2019年9月
消費者を狙った犯罪の傾向：2019年第3四半期
不正取引の発生状況
出典: RSA(R) Fraud & Risk Intelligence Service、2016年10月 - 2019年9月
取引方法
モバイルブラウザーとモバイルアプリからの取引は、RSAが観測した取引全体の50%を占めました。この数年の間にモバイルチャネル*の占める取引量は顕著な増加を示しましたが、ここにきて伸び率は横ばいになり始めています。*モバイルブラウザーとモバイルアプリケーションを合わせた数字
出典: RSA(R) Fraud & Risk Intelligence Service、2016年10月 - 2019年9月
不正取引の方法
不正取引はチャネル間で際立った移行が見られました。ここ数四半期の間、60％-70%を占めていたモバイルチャネル*から実行されていた不正取引の比率は、この第3四半期には38%まで減少しました。
ウェブチャネルから実行された不正取引が占めた比率は、62%を占めました。モバイルチャネルを使った不正金融取引の平均額は547ドルでした。
*モバイルブラウザーとモバイルアプリケーションを合わせた数字
クレジットカードを使った正規の取引と不正な取引の比較(eコマース・地域別)
盗んだクレジットカード情報は、転売・換金のしやすい高額な商品の購入に使われるため、不正な取引の1件あたりの平均値は、おおむね正規の取引よりも高額になる傾向があり、地域による違いはありません。地域間の比較は、消費水準の違いも示唆しています。
第3四半期に起きた最も大きな変化は、南北アメリカで観測された正規の取引と不正な取引の差額の増大でした。不正な取引の平均額397ドルは、前四半期の344ドルに比べて約15%増加しています。この数四半期の間、英国では、正規取引の平均額と不正取引の平均額の差が、他の地域に比べて小さいという傾向が続いています。
盗まれたクレジットカード情報とRSAが取り戻した情報
出典: RSA Fraud & Risk Intelligence Service, 2018年10月～2019年9月
分析
RSAは、前四半期比で24%減となる、重複無しで510万件を超える漏えいしたカードの情報及びカードのプレビューを取り戻しました。前四半期比では減少していますが、それでもRSAが、2019年に入って、オンライン犯罪ストアやソーシャルメディアなどの信頼に足る情報源から取り戻した漏えいしたカードの情報及びカードのプレビューは重複無しで2,600万件を超えました。この数字は、2018年に比べて23%増えています。RSAが取り戻すことができた漏えいしたクレジットカード情報は、わずか15ヵ国の銀行とその顧客のものと特定されています。
特集：オンライン犯罪者がクリスマスに望むのは、より多くのカード情報
(欧米の感謝祭からクリスマスに至る年末)休暇商戦で、ECビジネスは大きな売上を上げ続けており、2019年も例外ではありませんでした。デロイト社は、年末休暇商戦の59%にあたる1億4400万ドルから1億4900万ドルもの取引がオンラインで行われると見込んでいました。オンライン犯罪者たちは、このことを十分承知しており、毎年様々な方法で“仕込み”をしています。
多くの消費者にとって休暇商戦の幕開けとなるブラックフライデー。ここからうまくスタートを切るために、前もって闇市場で犯罪者相手の販促広告を打つのは、オンライン犯罪者たちにとってはもう常識です。
こうした宣伝は様々な形式を採ります。例えば、(盗んだ)現金の送金や(違法に入手した)物品の転送といった犯罪の片棒かつぎ役「ミュール」を募集するものも見受けられます。他には、窃取したクレジットカード情報の売却に関するものもあります。他の犯罪者に過剰在庫を押しつけようと目論む、大量の盗んだクレジットカード情報の売却広告もめずらしくありません。カード情報は地域をまたいで販売されており、CVV(大抵はフィッシングやマルウェア感染を通じて入手したオンライン決済カードの詳細なキャプチャー情報)とダンプ(ATMやPoS端末に仕込まれたスキミング機器が収集し、カードの現物を複製するために使われる磁気ストライプの詳細情報)があります。
イラストに示したのは、ICQの犯罪者グループにオンライン犯罪者が掲載した数多くの広告のほんの一例です。ここに記されている盗まれたカードあたりの価格は、盗まれたカード自身の出自によって変わります。ICQチャットルームだけが、オンライン犯罪者にとって自らの違法な売り物を広告する場というわけではありません。
彼らは、ソーシャルメディア上でも広告を拡大し続けています。RSAによるこうした状況の包括的な調査によれば、ソーシャルメディア上で発生した犯罪活動の50%以上は、カーディング(違法に入手した他人のカード情報を使った犯罪行為)と盗んだカード情報の販売に関するものでした。
2019年に入って、オンライン犯罪ストアやソーシャルメディアなどの信頼に足る情報源から取り戻した漏えいしたカードの情報及びカードのプレビューは重複無しで2,600万件を超えました。これは、前年比で23%の増加にあたります。他にも、盗んだクレジットカードの大規模な隠し場所が報告されています。その中には、サイトがハッキングされ、盗まれたカード情報のデータベースがサイバーセキュリティブロガーのBrian Krebsに送られた、悪名高いカード情報売買の闇サイト「BriansClub」が含まれています。
RSAが2019年上半期の間にオンラインクレジットカードストアから取り戻した盗まれたクレジットカードに対する徹底した分析の結果、闇市場に売り出されていた盗まれたクレジットカードの92%は、わずか15ヵ国のものだということがわかりました。こうした国々の中で、すべての盗まれたカードの88%は、わずか6ヵ国のものでした。盗まれたクレジットカードの出自である15ヵ国の内訳は別表の通りです。
概して、国あたりのカード需要は様々な要因に由来しています。特定の地域で、カード犯罪市場を活性化させるフィッシングやマルウェア攻撃に大量の人が引っかかっていることなどは、明らかな要因の具体例の一つです。様々な決済サービスとカードを結びつけたり、EC不正を実行したりする能力のような、カード情報を現金化する方法の選択肢が数多くあるかどうかは、より実践的な(カードの需要を左右する要因の)例です。言い換えれば、盗んだカード情報の現金化がどれだけ容易かが、需要を左右するということです。
休暇商戦の間、消費者はとにかく用心する必要があります。消費者は、銀行やカード会社を名乗るフィッシングメールやメッセージに警戒しなければなりません。
近ごろ米国のサイバーセキュリティ・インフラストラクチャ・セキュリティ庁（Cybersecurity and Infrastructure Security Agency (CISA)）は、消費者がこの時期に高額商品を購入する可能性が高まるため、疑わしい取引がなされようとしているという確認を求める警告メールを受信する可能性があると、注意喚起を出しました。
犯罪者たちはこのことを知っていて、この注意喚起を利用して、フィッシングサイトに誘導したり、マルウェアを感染させたりしようとするメッセージを送ろうとするでしょう。
また、消費者は、この時期は特に不正行為がないか、クレジットカードと銀行取引明細をもっと頻繁にチェックし、特に覚えのない取引がないか確認することをお勧めします。
この時期、取引を増やしたい小売店やカード発行会社は、顧客の購入体験を損なわないように、商戦の間、クレジットカードの本人確認などのセキュリティ基準を緩和する可能性があることを犯罪者たちは知っているので、Eコマース関連の不正行為は増えるのです。
「ブラックフライデー」は、もともと感謝祭翌日の商店街のひどい人混みや交通渋滞にうんざりした人たちが使い始めたフレーズでした。しかし、小売店はこの否定的な印象を嫌って、Blackとは休暇期間中のショッピング渋滞の結果生じる店の大きな黒字のことだと、肯定的な意味合いをこじつけようとしました。なお、お店が黒字になる一方で、あなたが赤字になるのは、犯罪者のせいではありません。身から出た錆なので、お間違いなく。
日本でホストされたフィッシングサイト
日本に立ったフィッシングサイトの報告数は、2018年10月に100件を超えた後は、最低は3件、最高は37件の間で増減を繰り返しています。フィッシング対策協議会に報告された、日本の消費者を狙ったフィッシング攻撃の勢いとは全くといっていいほど、相関していません。
出典: RSA Fraud & Risk Intelligence Service, 2018年9月～2019年10月
フィッシング対策協議会に報告された国内のフィッシング攻撃件数の変化は、日本でホストされているフィッシングサイトの減少とは対照的で、2019年1月の1,713件から12月の8,208件まで、ほぼ右肩上がりで増え続けました。その結果、年間の累計報告件数は55,787件と、2018年の19,960件の約2.8倍に増えました。
様々な金融機関を騙るフィッシングメールが確認されているだけでなく、楽天、Yahoo! Japanなど有名なサービスプロバイダーを騙るフィッシングメールも多く、Amazon、Apple、LINEなどの有名ブランドを騙るフィッシングメールも相変わらず高止まりしているといいます。
同協会からブランド名を名指しした注意喚起が出ている個別の攻撃は、以下のブランドを騙るものです。
・UC カード、みずほ銀行、りそな銀行、Yahoo! Japan、ジャパンネット銀行 など