フィッシングサイト、正規のTLS証明書を悪用してWhatsAppやInstagramになりすます疑い

新たなフィッシングキャンペーンが、通常は正規サイトの証しとされるHTTPSのセキュリティ表示を偽サイトに与えることで、信頼性があるように見せかけています。

セキュリティ研究者集団Clandestineによると、新たに稼働を始めたフィッシングおよびインターフェース偽装インフラが確認されており、これは高価値ブランドの顧客を標的とすることを目的としているとみられ、特にWhatsAppとInstagramに重点が置かれているとのことです。

研究者の説明によれば、これら不審なドメイン向けのSSL/TLS証明書は8月10日に、Let’s Encrypt、Google Trust Services、Amazonといった正規の認証局によって発行されていました。これらのドメインは、文字の置き換えや単語の追加、スペルのバリエーションといったタイポスクワッティングの手法を用いて、著名ブランドを模倣しています。

Clandestineが挙げた事例には、WhatsApp関連サービスに酷似したアドレスが含まれており、このインフラが新たなソーシャルエンジニアリング・キャンペーンに向けて最近準備されたものであることをうかがわせます。

暗号化と正当性は別物

今回の攻撃は、SSL/TLS証明書そのものの脆弱性を突くものではありません。その代わりに、多くのユーザーが抱く「南京錠アイコンやHTTPS接続が表示されていれば、そのウェブサイトは信頼できる」という一般的な思い込みを悪用しています。

Cyber Security NewsはClandestineの調査結果を引用し、攻撃者は自らが管理するドメイン向けに有効な証明書を取得できるため、フィッシングページが不正なものであっても暗号化された接続を通じて読み込まれてしまうと報じています。

この違いは、ブラウザがウェブアドレスの一部しか表示しないことが多いモバイル端末上では特に重要です。偽のページは一見安全に見えながら、パスワードや認証コード、その他のアカウント情報を収集している可能性があります。

この詐欺の手口

研究者によると、被害者はアカウントの確認が必要である、支払いが保留になっている、あるいはカスタマーサポートの対応が必要であるといった内容のWhatsAppメッセージを受け取ることがあります。そのメッセージは、正規のサービスに酷似した偽のログインページへとユーザーを誘導します。

被害者が認証情報やワンタイム確認コードを入力してしまった場合、攻撃者はそのアカウントへのアクセス権を得て、詐欺やなりすましに悪用する可能性があります。

Clandestineは、今回の活動が新たな認証情報窃取キャンペーン向けに新規構築されたインフラの特徴と一致していると指摘しています。

南京錠アイコンはもはや信頼の目安として役立たない

より大きな問題は、攻撃者が説得力のあるフィッシングサイトを作るために、必ずしもHTTPSを打ち破る必要がないという点です。正規のウェブサイトが利用しているのと同じインフラを使い、その結果表示されるセキュリティ表示をユーザーが誤って解釈することを当てにすればよいのです。

これにより、防御の一端はブラウザのセキュリティ表示から、ドメインそのものへの注意力へと移ることになります。特にモバイル端末では、単にHTTPSかどうかを確認するよりも、認証情報を入力する前に完全なアドレスを確認する方が有用な場合があります。

一般利用者にとって最も安全な対策は、チャット経由で送られてくる不意のアカウント関連リンクを避け、代わりに公式アプリを直接開くことです。求められてもいない確認コードを他人と共有してはならず、利用可能な場合は追加のサインイン保護機能を有効にしておくべきです。

関連記事: 企業ネットワーク全体に広がるブラウザの脅威では、認証情報の窃取をはじめとするブラウザ起点の攻撃が、組織にとってより広範なリスクをもたらしている実態を取り上げています。