銀行フィッシングサイト、偽の「停止」ページで削除対応を回避

サイバーセキュリティ企業のKelaによると、ある攻撃者グループが、銀行を装った偽サイトに再訪したユーザーに対し、「アカウント停止」を知らせる偽の通知を表示してフィッシングコンテンツを隠しているといいます。

このキャンペーンは5月から活動しており、300以上の偽ドメインを使用しています。そのうち248ドメインは、米国の金融機関189社を装ったものです。最初のドメインが登録されたのは2025年後半ですが、大半は2026年7月から9月にかけて出現しました。

10月25日時点で、標的となった組織のうち183社を狙った偽サイトが依然として稼働しており、主な標的は中規模の地方銀行です。先週は、新たに49ドメインが出現しました。

「これらをつなぐのは、ひとつの仕組みです。このキットは訪問者のIPアドレスをすべて記録しており、初回の訪問では銀行のログインページを表示し、2回目以降の訪問では閉鎖されたホスティングアカウントのような画面を表示します。私たちはこのクラスターを『Suspended』インフラと呼んでいます」と、Kelaは説明しています。

確認されたドメインの大半は、似通った命名パターンに従っています。「secure」「disable」「protect」「cancel」「authorize」「terminate」「credentials」「commercial」といったキーワードの後にハイフンを置き、標的となる銀行名を続ける形式です。

「数は少ないものの増えつつあるグループでは、銀行名を基にした『help-desk』『live-support』『treasury-portal』『primary device』といった名称を使っています。10月25日までの1週間に稼働したドメイン49件のうち約半数がこうしたテンプレートを採用しており、JPMorgan、Citi、BMO、Santanderを装ったヘルプデスクやライブチャットの偽サイトも含まれます」と、Kelaは指摘しています。

同社は、被害者がどのようにしてフィッシングページに誘導されるのかは特定できていません。ただし、このキャンペーンは個人口座よりも、法人向けバンキングや資金管理（トレジャリー）のログインを主な標的にしていると結論づけています。

初めて訪問したユーザーには、標的銀行のブランドを使ったページが表示されます。このページはユーザーIDとパスワードの入力を求め、reCAPTCHAを表示する場合もあります。

タブのタイトルは「Attention required」で、Cloudflareのチャレンジページの名称を模倣しています。また、ページ上のスクリプトがブラウザの開発者ツールをブロックします。

再訪したユーザーには「This account has been suspended」というページが表示されます。これは、ホスティング事業者がアカウント閉鎖後に表示する通知を模倣したものです。

「この設計は、まさにサイトを閉鎖できる立場の人々を狙ったものです。被害者がリンクをたどるのは通常1回だけです。一方、スキャナー、セキュリティチーム、テイクダウン事業者は、報告されたサイトを調べた後、確認のためにもう一度調べます。その2回目の確認で、すでに削除された状態のような画面が表示されます。実際、テイクダウン事業者が、新規訪問者にはフィッシングページを配信し続けている偽ドメインを、停止済みと判定してしまうことがあり得ます。稼働中のコンテンツを確認するには、チェックのたびに新しいIPアドレスが必要です」と、Kelaは説明しています。

偽の停止ページは複数のフィッシングドメインで確認されました。一部のドメインでは別の偽通知を表示し、Googleにリダイレクトするものもありました。こうした挙動により、公開スキャンサービスがキャンペーンの全容を捉えることが妨げられています。

これらのドメインはCloudflareの背後にありますが、一部は短時間だけ実際のサーバーに名前解決されました。これによりKelaは実際のホスティング先を追跡でき、英国、オーストラリア、ニュージーランドの被害者も標的になっていることを突き止めました。

「このインフラを止めにくくしている要因は4つあります。どの銀行にも使い回せるほど単純な命名規則、サイトのホスティング先を隠すCloudflare、2回確認した人に偽の『停止』画面を見せて稼働中のドメインを非稼働に見せかけるキット、そして個々のドメインより長く存続する共有サーバーです」と、Kelaは指摘しています。