セキュリティ、パフォーマンス、信頼性を備えたより高度なインターネットの構築を支援するCloudflare（クラウドフレア）は、本日、最もフィッシング攻撃で悪用されている上位50ブランドに関するグローバルレポートを発表しました。現在、全世界のWebサイトの内、ほぼ20%がCloudflareのグローバルネットワークによって保護されており、Cloudflareが提供するメールセキュリティによって、2022年には23億件もの迷惑メールが受信トレイへの到達前に阻止されました。その結果、Cloudflareの機械学習とデータ分析によって、インターネットユーザーが最も頻繁にクリックするフィッシングドメインに関する独自の見識が得られ、顧客をより積極的に保護できることが可能になりました。
「フィッシング」とは、ユーザー名やパスワード、クレジットカード番号、銀行口座および暗号口座の情報などの重要な機密情報を盗み出し、盗んだ情報を利用したり販売したりしようとする行為を指します。今日、「フィッシング」は最も急速に拡大を続けているインターネット犯罪であり、消費者と企業の両方にとって脅威となっています。攻撃者は、信頼できる情報源になりすまし、時には誘惑するような、またある時には平常心を失わせるような内容で消費者や企業の従業員をおびき寄せ、だまそうとします。これは、漁師が餌で魚を釣る様子と似ていますが、多くの場合、これらの行為では、悪意のある攻撃者が送り付けたメールやテキストメッセージ、あるいは有名ブランドのURLに見えるような文字列のURLなどが使われています。
Cloudflareの共同創設者兼最高経営責任者（CEO）であるマシュー・プリンス（Matthew Prince）は、「フィッシング攻撃は、私たちが日常的に愛用しているブランドの信頼を餌に増大しており、デジタルに精通した人でさえも、なりすましを見破ることは難しくなっています。メールの『from』フィールドのスペルミスを見落としたり、誤って不審なURLをうっかりクリックしてしまったがために、私たちの安全性や、銀行口座、パスワードが危険にさらされることがあってはなりません。Cloudflareは、新たなフィッシングサイトに対するリアルタイムの防御機能を備えたゼロトラストサービスを拡張し、ユーザーが信頼しているブランドを悪用した詐欺や攻撃の犠牲にならないようにしました」と述べています。
2022年に最もなりすましが多かったブランド上位50件
2022年にフィッシングURLで最もなりすましが多かったブランド上位50件は以下の通りです（日本拠点の企業・組織は太字で記載）。
AT&T Inc.
PayPal
Microsoft
DHL
Facebook (Meta)
Internal Revenue Service
Oath Holdings/Verizon
三菱UFJニコス
Adobe
Amazon
Apple
Wells Fargo & Company
eBay, Inc.
Swiss Post
Naver
Instagram (Meta)
WhatsApp (Meta)
楽天
東日本旅客鉄道（JR東日本）
American Express Company
KDDI
Office365 (Microsoft)
Chase Bank
イオン／AEON
Singtel Optus Pty Limited
Coinbase Global, Inc.
Banco Bradesco S.A.
Caixa Econômica Federal
JCB
ING Group
HSBC Holdings plc
Netflix Inc
三井住友銀行
Nubank
Bank Millennium SA
警察庁
Allegro
InPost
Correos
FedEx
Microsoft
United States Postal Service
Alphabet
The Bank of America Corporation
Deutscher Paketdienst
Banco Itaú Unibanco S.A.
Steam
Swisscom AG
LexisNexis
Orange S.A.
Cloudflareは、本レポートで、金融、テクノロジー、および電気通信業界のブランドが最も頻繁になりすましに悪用されていることを明らかにしました。その背景には、銀行口座、メールアドレスやソーシャルメディア、および電話会社が攻撃者にもたらす、情報へのアクセス権や金銭的メリットが、過去に前例がないほど大きくなっているという理由があります。テクノロジーおよび電気通信企業へのフィッシング攻撃が成功すると、二要素認証を介してユーザーの本人確認に使用される電子メールやテキストメッセージを傍受できるため、特に攻撃者に狙われやすいという事情があります。そして、この業界の企業へのフィッシング攻撃は、他のアカウントの安全性をも連鎖的に損なう危険性をはらんでいるのです。
「Cloudflare One」による新たなフィッシング対策
本日、Cloudflareは、現時点で最も包括的で効果的なフィッシング対策をユーザーに提供するための新機能も発表しました。「Cloudflare Area1」が直近で発表した高度なゼロトラストメールセキュリティツールをもとに、不審なドメインを自動かつ即座に識別してブロックし、企業ネットワークをより適切に保護できるようになりました。このサービスを使用することで、昨年の夏に、Cloudflareをはじめとした約100社を脅かした、「cloudflare-okta.com」という誤解を招きやすいドメインが攻撃者によって作成されてからわずか40分後に従業員に送信された攻撃と同様のフィッシング攻撃から企業のネットワークを保護することができます。ユーザーは、「Cloudflare Gateway」を使用することで、ゼロトラストルールを作成し、従業員がこれらの不審なもしくは類似のドメインに騙されたり、閲覧したりするのを防止することができます。
レポート作成方法
本レポートの作成にあたり、Cloudflareは、「1.1.1.1 DNS リゾルバー」の解決データを使用して、最もよくクリックされたフィッシングURLに関連したドメインを検出しました。フィッシング攻撃であると識別できなかった共有サービス（ホスティングサイトである Google、Amazon、GoDaddy など）に使用されているドメインは、データセットからすべて削除されています。
