偽ボット判定画面,ランダムサブドメインによるフィッシングを多数検知/フィッシングトレンドレポート最新版

ツイート

TwoFive、「フィッシングトレンド」レポート最新版を発表
2025年7月～12月 調査結果

ランダムサブドメインで親ドメインを使いまわすフィッシングを多数検知
偽のボット判定画面で正規サイトを装い、フィッシングサイトへ誘導する新手口を確認

メッセージングセキュリティのリーディングカンパニーである株式会社TwoFive（本社：東京都中央区、代表取締役 末政 延浩）は、「フィッシングトレンド」レポートの2025年7月～12月版を発表しました。
同レポートは、SSL証明書発行情報、ドメイン登録情報、ソーシャル情報、迷惑メール、マルウェアなど複数のデータソースから独自のアルゴリズムにより、国内のフィッシングサイトについて多角的に独自に調査し、メッセージングセキュリティの専門ベンダーとして長年培った経験に基づく知見により分析・判定して検知した結果をまとめたもので定期的に公開しています。

グラフ入りのレポートを以下からダウンロードいただけます。
https://www.twofive25.com/download/phishing_trend_202602/

●　ランダムサブドメインを使ったフィッシングを多数検出
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
今回の調査では、7月から9月にかけて、ランダムなサブドメインを用いたURLを使用するフィッシングが、複数のブランドを対象として多数検出され、10月以降も継続して確認されています。この手法は、1つの親ドメイン配下のサブドメイン部分にランダム文字列を付加して大量のサブドメインを生成し、フィッシングサイトへ誘導する手口で、ブラックリスト登録によるドメイン単位での検知を回避しやすく、使い捨てのリダイレクト用URLとして悪用されます。
一方、ユニークURL数は大きく減少しており、活動規模は縮小傾向にあると考えられます。


●　フィッシングに悪用されたブランド
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣　
前回の調査で多く確認された証券会社を騙るフィッシングについては、今回の調査では大幅な減少が見られました。これは、各証券会社による不正利用対策や認証機能の強化などが進んだ結果、証券会社を標的としたフィッシングキャンペーンが抑制されたためと推測されます。一方で、知名度の高い証券会社が引き続き狙われる傾向は残っており、利用者への継続的な注意喚起や、さらなる不正利用対策の検討が必要と考えられます。
また、クレジットカード会社を騙るフィッシングについては、調査期間を通じて継続的に検出されており、一定の件数が維持されている状況です。


●　フィッシングに利用されているeTLD (effective TLD)
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
今回の調査では、これまであまり観測されてこなかった club、college、love、net.cn、online、xin などの TLD を使用した URL が、一時的に増加していることが確認されました。これらの多くは、前述のランダムなサブドメインと組み合わされた構成となっており、限られた数の組織ドメイン（Organizational Domain）をサブドメイン単位で使い回す手法が用いられていました。
このような構成は、検知やブロックを回避することを目的とした手法の一つと考えられます。


●　フィッシングに利用されているホスティング事業者
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
前回の調査と同様に、中国やアジア圏のホスティング事業者が引き続き利用されていることが確認されました。また、Cloudflare社のサービスが継続的に高い割合で利用されています。これらのサイトは、サイトを簡単に公開できるホスティングサービス「Cloudflare Pages」 を利用して、独自ドメインで運用しているものと推測されます。
Cloudflare 社では、自動検出や通報に基づき、当該サイトへのアクセス時に「Suspected phishing site | Cloudflare」という警告ページを表示するセキュリティ機能がありますが、現時点ではこれらのフィッシングサイトの完全な遮断には至っていないケースが見受けられます。


●　攻撃者が独自に作成した偽ボット判定画面
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
従来より、機械的なアクセス制御によるフィッシングサイトへの自動ブロック画面やボット判定画面を表示することで正規サイトであるかのように見せかけ、ユーザーを信用させて欺く手法が確認されてきました。これらの多くは、「Cloudflare Turnstile」をそのまま利用する、あるいは正規サイトが独自に実装しているボット判定画面を模倣するといった手法が用いられていました。
今回の調査では、これらとは異なり、攻撃者が独自に作成したボット判定画面を設置し、「ロボットではありません」といったユーザー操作を経た後にフィッシングコンテンツを表示する事例が観測されました。正規サイトとは異なる画面構成であるため、ユーザーが違和感を覚える可能性はあるものの、このような手法は今後増加していくと考えられます。


……………………………………………………………………
◆TwoFiveの「フィッシングトレンド」調査について

SSL証明書発行情報、ドメイン登録情報、ソーシャル情報、マルウェアなど複数のデータソースから独自のアルゴリズムにより、国内のフィッシングサイトについて多角的に独自に調査しています。
TwoFiveもメンバーであるフィッシング対策協議会が定期的に発表する報告件数に基づく「フィッシング報告状況」とは、件数、内容などが異なります。
また、攻撃者は、IDの盗用やクレジットカードを不正利用するために、メールやSMSで詐欺メッセージを配信しフィッシングキャンペーンを実行する前に、予備調査により詐取方法や対象を検討して、ドメイン確保やDNS設定、サーバー構築やフィッシングコンテンツの設定、SSL証明書やドメインなどのリソースを準備します。TwoFiveの調査では、フィッシングキャンペーンの実行前の準備段階を含めて情報を収集し、メッセージングセキュリティの専門ベンダーとして長年培った経験に基づく知見により分析・判定して検知するのが特長です。
……………………………………………………………………

＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
■株式会社TwoFiveについて
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
https://www.twofive25.com/
株式会社TwoFiveは、大手ISP、ASP、携帯事業者の電子メールシステムインフラで長年経験を積んだメールシステムの技術者集団により2014年に設立されました。日本の電子メール環境を向上させることを使命としてベンダーニュートラルな立場で最適な技術とサービスを組み合わせ、メールシステムの設計・構築、電子セキュリティなどについてコンサルティング、ならびに各種レピュテーションデータを提供しています。

株式会社TwoFive
担当：渋谷
Email：info@twofive25.com TEL：03-5704-9948