Sec道後2020ナイトセッション わたしのかんがえたさいきょうのフィッシングたいさく（公開用）
•
2 likes•2,483 views
サイバーセキュリティシンポジウム道後2020のナイトセッション「わたしのかんがえたさいきょうのフィッシング対策」の発表資料です。 https://www.sec-dogo.jp/program/
Recommended
Recommended
More Related Content
Recently uploaded
Featured
Featured (20)
Sec道後2020ナイトセッション わたしのかんがえたさいきょうのフィッシングたいさく（公開用）
- 2. 2 • いわゆるハラスメントは禁止です。妨害行為についても ホスト権限で退室いただきます。 • このような行為を受けた、発見された方は座長(唐沢 勇輔)や副座長(林憲明)までお知らせください。 • 座長の発表内容やイベントについてSNSへの投稿は 原則OKですが、投影資料や参加者の氏名や顔が映 り込む形での投稿はご遠慮ください。 • ハッシュタグは「#secdogo」です。 ナイトセッション参加にあたって①
- 4. 4 18:00-18:10 ウォームアップ 18:10-19:00 講演「最近のフィッシング詐欺」 19:00-19:05 ディスカッション・タイムの説明 19:05-19:15 各チームに分かれて自己紹介 19:15-19:30 ディスカッション・タイム 19:30-19:50 各チームの議論を振り返り 19:50-20:00 まとめ セッションの流れ
- 5. 5 前座
- 8. 8 自己紹介
- 9. 9 唐沢 勇輔（からさわ ゆうすけ） 所属 フィッシング対策協議会 副運営委員長（本日の肩書） Japan Digital Design, Inc – Security Engineer（本業） 某コンシューマ向けセキュリティベンダー（副業） JNSA社会活動部会 副部会長 自己紹介
- 10. 10 フィッシングとは
- 11. 11 【協議会webサイトの定義】 フィッシング (Phishing) とは、金融機関 (銀行やクレジッ トカード会社) などを装った電子メールを送り、住所、氏名 、銀行口座番号、クレジットカード番号などの個人情報を 詐取する行為です。電子メールのリンクから偽サイト (フィッ シングサイト) に誘導し、そこで個人情報を入力させる手 口が一般的に使われています。 フィッシングとは
- 12. 12 フィッシングとは
- 15. 15 設立 2005年4月 名称 フィッシング対策協議会 / Council of Anti-Phishing Japan 目的 フィッシング 詐欺に関する事例情報、技術情報の収集及び提供を中心に行うことで、日本国内におけ るフィッシング詐欺被害の抑制を目的として活動 会員+オブザーバー 104 正会員：77、リサーチパートナー：６、関連団体：１４ オブザーバー：7 金融機関、信販会社、オンラインサービス、セキュリティベンダーなど 会長 岡村 久道 運営委員会 委員長：加藤 孝浩（トッパン・フォームズ株式会社） 副委員長：唐沢 勇輔（Japan Digital Design 株式会社 / ソースネクスト株式会社） 事務局 一般社団法人JPCERTコーディネーションセンター フィッシング対策協議会の組織概要
- 16. 協議会の活動 16
- 17. 17 少し前の話題から
- 24. ブランド別（月別・2020年） 24 出典：フィッシング対策協議会 悪用されるブランド件数に大きな変動はなし 8月は、Amazon、LINE、楽天および楽天カードの上位 4 ブランドで報告数全体の約 92.6 % を占める
- 26. 26 動向②：フィッシングの事例
- 33. 最近のフィッシングメールの配送状況 大量配信系フィッシングメール 以下の2タイプの大量配信が目立っている スパムボットを使った配信 国内外のIPアドレスから発信、直配送 差出人のメールアドレスはさまざま（独自ドメイン） 同じ文面、URL で大量の宛先に何度も配信される 宛先には同じドメインの受信者のメールアドレスが列挙されている場合が多い 国内事業者の設備（サーバ）を経由した配信 差出人のメールアドレスは詐称している場合もあるが、独自ドメイン、事業者のドメイ ンを使っている 正規ユーザとしてSMTP認証をパスして送信 事業者に契約を行っているケースと、詐取したアカウントを使用していると思われるケ ースがある 発信元は調べた範囲では CN, HK, TW からだった 発信元 IP は何らかの DNSBL に登録されていた 33
- 34. 誘導先 フィッシングURL 34 フィッシングサイトをダイレクトに指定 同時に多くのドメインを取得してフィッシングサイト構築 リダイレクトを複数伴うケース 通常は2段くらい。Appleのフィッシングサイトでは多段のものが多い 短縮URLの利用 Twitter, Linkedin, bitly, GoDaddy, Frama.link, ・・・・・・
- 37. スミッシング被害拡大と事業者の対応 37 規約の変更や振込額上限設定の変更 • 「d払い」等における不正利用の被害を補償する制度を導入 -NTTド コモ:2019年8月28日- • インターネットバンキング（SMBCダイレクト）での振込上限金額を50万円に 引き下げします –三井住友銀行：2019年10月3日-
- 38. スミッシング被害拡大と事業者の対応 38 規約の変更 • 「ソフトバンクまとめて支払い」不正利用の被害に対する補償制度を導 入 -ソフトバンク:2019年11月5日- • 不正利用による被害を補償する制度導入について–KDDI：2019年11月5日-
- 42. フィッシング動向のまとめ フィッシングメール配信量の増加 • スパムボットまたは国内事業者の設備（サーバ）を経由し た大量配信 • 狙われるブランドは一定の範囲内に収まる スミッシングの拡大 • 宅配便の不在通知を装うパターンが定着 サーバ証明書付きフィッシングサイトの増加 • 「URLで見分ける」はますます難しくなっている 42
- 43. 43 対策①：協議会としての活動
- 45. ワーキンググループ 技術・制度検討ワーキンググループ フィッシング被害にあわないための各種対策議論 フィッシング対策ガイドラインの改定 STC普及啓発ワーキンググループ 日本国内において STOP. THINK. CONNECT.を活用した普及啓発活動を行う為 、様々な施策を検討し実行する 証明書普及促進ワーキンググループ 普及、啓発コンテンツの作成 安心安全な Web サイト運営のためのガイドライン等作成 学術研究プロジェクト（2017年10月より活動開始） 長崎県立大との共同研究プロジェクト。中長期の対策確立を目指す。 認証方法調査・推進ワーキンググループ（2018年10月より活動開始） フィッシング詐欺と関連の高いインターネットサービスの利用者認証について調査 被害状況共有ワーキンググループ（2019年度より活動開始） フィッシング被害組織（ブランドを騙られる組織等）の対策コスト低減とコミュニティ形成 を目指し、協議会で保有するフィッシング詐欺被害状況に関するデータの可視化と共同 分析を行う 45
- 48. 48 対策②：企業として
- 49. 企業としての対策 49 利用者が正規メールとフィッシングメールを判別可能とする対策 【要件1】 ◎：利用者に送信するメールには電子署名を付与すること 【要件2】 ◎：外部送信用メールサーバを送信ドメイン認証に対応させる こと 【要件3】 ◎：利用者に送信するメールでは定型的な様式を用いること 【要件4】 ◎：Web サイト運営者が利用者に送信するメールはテキスト 形式とすること 【要件5】 ◎：利用者に情報発信する手段および内容を周知すること
- 50. 企業としての対策 50 利用者が正規サイトを判別可能とする対策 【要件6】 ◎：Web サイトの安全性を確保すること 【要件7】 ◎：ユーザに提供するアプリケーションの安全性を確保すること 【要件8】 ◎：Web サイトの正当性に係る情報を十分に提供する画面と すること 【要件9】 ◎：サーバ証明書を導入すること 【要件10】 ◎：正規Web サイトのドメイン内設置サーバの安全性を確 認すること 【要件11】 ○：認証システムが許容するポリシを利用者に示すこと 【要件12】 ○：色々なチャネルで利用者に対する脅威の状況を提供する 【要件13】 △：認証画面には利用者個別のマークなどを表示できるよう にする
- 51. 企業としての対策 51 フィッシング詐欺被害を拡大させないための対策 【要件14】 ◎：利用者に端末を安全に保つよう、注意を促すこと 【要件15】 ◎：資産の移動を実行する前に、複数要素認証を要求する 【要件16】 ◎：資産の移動に限度額を設定すること 【要件17】 ◎：資産の移動時に利用者に通知を行うこと 【要件18】 ○：正規Web サイトにアクセス可能な端末を制限すること 【要件19】 ○：登録情報を変更するページには再度認証を要求する 【要件20】 ○：重要情報の表示については制限を行う 【要件21】 ○：パスワードのブラウザへの保存については禁止する 【要件22】 ○：認証情報は厳格に管理すること 【要件23】 ◎：アクセス履歴の表示 【要件24】 △：特別な認証方法を採用する場合には、その方式に特有 の脆弱性対策を行うこと 【要件25】 ○：正規サイトログイン時の認証には複数要素認証を利用
- 52. 企業としての対策 52 ドメイン名に関する配慮事項 【要件 26】 ◎：利用者の認知している Web サイト運営者名称から連 想されるドメイン名とすること 【要件27】 ◎：使用するドメイン名と用途の情報を利用者に周知すること 【要件28】 △：ドメイン名の登録、登録、利用、廃止にあたっては、ドメイ ン名を自己のブランドとして認識して管理すること 組織的な対応体制の整備 【要件29】 ◎：フィッシング詐欺対応に必要な機能を備えた組織編制 【要件30】 ◎：フィッシング詐欺に関する報告窓口を設けること 【要件31】 ◎：フィッシング詐欺発生時の行動計画を策定すること 【要件32】 ◎：フィッシング詐欺および対策に関わる最新の情報を収集 【要件33】 ◎：フィッシングサイト閉鎖体制の整備をしておくこと 【要件34】 ○：フィッシングサイトアクセスブロック体制の整備をしておくこと
- 53. 企業としての対策 53 利用者への啓発活動 【要件35】 ◎：利用者が実施すべきフィッシング詐欺対策啓発活動を行 うこと 【要件36】 ◎：フィッシング詐欺発生時の利用者との通信手段を整備し ておくこと フィッシング詐欺被害の発生を迅速に検知するための対策 【要件37】 ○：Web サイトに対する不審なアクセスを監視すること 【要件38】 △：フィッシング詐欺検出サービスを活用すること 【要件39】 △：端末の安全性を確認すること 【要件40】 △：バウンスメールを監視すること
- 54. 54 対策③：利用者として
- 61. 61 ディスカッションタイム
- 64. 64 ありがとうございました フィッシング情報 Twitter 「@antiphishing_jp」 フィッシング報告窓口 「info@antiphishing.jp」へメールを！ 詳しくは「https://www.antiphishing.jp/contact.html」 Stop Think Connectについてはこちら https://stopthinkconnect.jp/ https://www.facebook.com/StopThinkConnectJapan/