革新的な偽装の仕組み
サイバーセキュリティ企業のKela社は、金融機関を標的とした高度なフィッシングキャンペーンを検知しました。攻撃者は、セキュリティチームやテイクダウンサービスプロバイダーによる悪意あるコンテンツの検知を防ぐ、欺瞞的な技術を採用しています。このキャンペーンは訪問者のIPアドレスの記録に依存しており、最初の訪問者は偽の銀行ログインページを目にする一方、その後のすべての訪問者（セキュリティスキャンツールを含む）には、ホスティングプロバイダーによる「アカウント停止」ページのように見えるページが表示され、サイトがすでにテイクダウンされたかのような印象を与えます。
このニュースが重要な理由
このインフラストラクチャの危険性は、従来の保護対策をバイパスする能力にあります。セキュリティチームやサービスプロバイダーが不審なサイトを報告する際、通常はテイクダウンを確認するために再度サイトを確認します。この場合、調査員には偽のページが表示されるため、サイトが新たな被害者を標的にし続けている一方で、ドメインは「非アクティブ」として分類されてしまいます。この戦術により、インシデントレスポンスチームがキャンペーンを効果的に阻止することが困難になります。なぜなら、真のコンテンツを検知するためには、スキャンごとに新しいIPアドレスを使用する必要があるためです。
キャンペーンの詳細と範囲
このキャンペーンは2026年5月から開始され、300以上の偽ドメインに拡大しました。そのうち248ドメインが約189の米国の金融機関を標的としており、特に中堅の地域銀行に重点が置かれています。調査ではまた、このキャンペーンがイギリス、オーストラリア、ニュージーランドの被害者にまで及んでいることも明らかになりました。これらのサイトでは、「secure」や「authorize」などの単語に銀行名を続けた命名パターンが使用されており、「help-desk」や「live-support」などの名称を使用してサポートポータルを模倣する新しいカテゴリーも登場しています。
対抗における課題
Kela社は、このインフラストラクチャの停止を困難にしている4つの要因を特定しています。
- 単純な命名規則： あらゆる金融機関に対して簡単に複製できること。
- Cloudflareの使用： 実際のホスティング場所を隠蔽すること。
- 偽装技術： スキャナーを欺くために、2回目の訪問時に「停止」ページを表示すること。
- 共有サーバー： 1つのドメインが停止されてもキャンペーンの継続性を確保すること。
調査結果によると、このキャンペーンは主にビジネスおよびトレジャリーバンキングの認証情報を標的としており、ブラウザでの開発者ツールの使用を阻止するスクリプトを使用しているため、サイトの技術的な分析プロセスがさらに複雑になっています。