これが bitFlyer のフィッシング対策、囮捜査でウソ情報与え攻撃者 IP 特定

株式会社bitFlyerは12月24日、同社が運営する仮想通貨取引所サービスのセキュリティ対策の一例としてフィッシングサイト対策を紹介した。

対策の中には、オトリ用のログイン情報をフィッシングサイトに入力することで、攻撃者に同社へログインを試みさせて、攻撃者のIPアドレスを特定し、そのブロックを繰り返し顧客への被害を最小限にとどめるという、従来的な受動的セキュリティ対策にとどまらない、攻撃者に積極的に誤った情報を与えていく興味深い取り組みが紹介されている。

同社によると、2019年10月には13件のフィッシングサイトを検出し全サイトを閉鎖、および裏で待機する攻撃者IPアドレス8件を特定しブロックすることで被害拡大を未然に防止した。なお、ほぼ同時期である2018年9月には、これまであまり確認されていなかった二段階認証を突破するタイプのフィッシングサイトが出現し、銀行各行で不正送金事犯が多発しているため、同社が対策したフィッシングサイトはこのトレンドに沿ったものと自賛している。

また2020年7月に、ブラジルの組織立ったフィッシングサイトを確認した際も同社では同様の手法で封じ込め、不正送コイン被害は0件であった。

同社では顧客に対し、フィッシング詐欺被害に遭わないためにも、URLが正規のものであるか確認する、公式サイトを予めブックマークしておく、スマートフォンからアクセスの際は公式アプリを使用する等の対策をするよう注意を呼びかけている。

今回の情報発信はいわば同社の対策の手の内を明かすものだ。攻撃者は積極的にOSINTを活用している場合もあり、手の内を知られることで対策の効果が無くなることも予想されるが、こんな対策はほんの序の口、充分それを知ったうえでの行動であるとも推測できるかもしれない。

セキュリティ対策を誇示喧伝することは、対策の実状を攻撃者に知らしめるデメリットがある。しかし、大半のサイバー犯罪は経済犯罪なのでいわば「面倒くさい」標的は避ける傾向にある、ひっかかったふりをしてログインしてくるのを待ってそれをブロックしてそれを誇らしげに喧伝するなど、面倒くさいと思わせることにはある程度成功しているのかもしれない。攻撃者側にもノルマや目標があることが多いので、対策突破の作業工数を嫌うことで、攻撃者側の「標的リスト」のなかでbitFlyerの攻撃優先順位が少し下がる可能性もある。

本事例は攻撃者側とサービス運営側のコミュニケーションの試みの例ととらえることもできる。