はじめに こんにちは、ドコモグループのサマーインターンシップ2023に参加した河井です。 普段は大学院で暗号理論の研究をしています。 この記事では、私がこのインターンシップで取り組んだことについて紹介します。 セキュリティ系インターンシップに興味のある人の参考になれば幸いです。 はじめに NA4Sec PJの紹介 インターンシップ概要 脅威検証：攻撃インフラの秘匿 セキュリティに関するクローキングとは サーバ側のクローキングの実装 IPアドレスによるクローキング RefererとUser-Agentによるクローキング 脅威検証：攻撃インフラの構築 OAuth 2.0のデバイス認可付与（RFC8628）とは 認可フローを悪用した攻撃 フィッシング攻撃の検証 おわりに 参考文献 NA4Sec PJの紹介 まずは、私がお世話になったNA4Sec PJについて紹介します。 正式にはNetwork

3日前に、auじぶん銀行の巧妙な不正出金についてYouTube動画を公開しました。みんな見てねー。 auじぶん銀行アプリに対する不正出金の驚くべき手口 そうしたところ、先程私のiPhoneに以下のようなSMSが届きました。 ふーん、au自分銀行のときは宅配事業者を装ったSMSということでしたが、これはどうなんでしょうね。開いてみると… 詐欺サイトの警告が出ていますが、構わずに開いてみると… きたきたきたー。これですよ。auじぶん銀行のフィッシング（SMSの場合はスミッシングと言いますが）サイトのようですよー。「閉じる」をタップすると… うーむ、これがauじぶん銀行の本物のフィッシングサイトですよ。これかー。僕が作った偽サイトよりもきちんと作ってありますねー（笑い）。ちなみに、本物のauじぶん銀行サイトはこちら。 よく似ていますね。お客様番号とログインパスワードの欄は共通ですが、偽物の方は暗

こんばんは、ritouです。 令和の時代においても、フィッシング攻撃はメール、SMS共に存在します。 だいぶ普及してきたみんな大好きワンタイムパスワードでもフィッシングに対しては脆弱です(FIDOにしましょう)。 フィッシング攻撃への現状の対策はどうかというと、メール自体の検証、メールにあるURLの表示と実際のリンクの差異、URLが正規のものかを確認することは素人になればなるほど困難です。 SMSならばURLはテキストそのものだから安心かもしれませんが、そもそも正規のメッセージに偽物が混ざってきたらわかりません。 ということで、今回は「メールやSMSにできるだけURLや電話番号などを記載するのを避けよう。」という話です。 主張 例えばこの記事 keepmealive.jp それならば対策は二つだけ 1. SMSに書かれているURLは原則としてクリックしない 2. どうしてもクリックする必要

Fossbytesは2019年6月24日(米国時間)、「Google Calendar Being Used For Phishing: How To Stay Safe From This Hack」において、最近は、Googleカレンダーの通知機能などを悪用したフィッシング攻撃が見られると伝えた。 フィッシングメールの危険性に対する理解が進んだこともあり、以前ほどだまされるユーザーは減ってきているが、Googleカレンダーアプリなどのユーザーが信頼しているアプリを通じてだます攻撃が増えており、注意が必要と指摘している。 Googleカレンダーは、ユーザーが好む好まないにかかわらず、初期設定で入力されたイベントが表示されるようになっている。この挙動を悪用したフィッシング攻撃が増えている。 記事では、この挙動に関しては設定を変更することで回避が可能であり、次の方法で設定を無効にできると説明

先日、友人 id:ohesotori がマイクロソフトのサポートを装った詐欺に遭遇したが、通報先が探しにくいわ！という話をしていたので、以前調べてメモしていたものをブラッシュアップして公開することにした。 マイクロソフトのサポートを装った詐欺について ちなみに、マイクロソフトのサポートを装った詐欺は既にマイクロソフト社によって注意喚起が公開されているため、どんな詐欺なの？という方は事前にチェックをしておくことをお勧めしておきます。 知っておけば、対応あるからね。 マイクロソフトのサポートを装った詐欺にご注意ください - News Center Japan(マイクロソフト) 本画面が表示されたお客様は、「Ctrl」「Alt」「Del」の3つのキーを同時に押して「タスクマネージャー」を起動してブラウザーソフトを選択し、「タスクを終了」してください。偽警告画面を閉じることができます。 こんな感じ

米Googleや米Microsoftをはじめとする大手電子メールサービスおよび技術関連企業など15組織が、スパムやフィッシングメールの撲滅に取り組む技術作業部会「DMARC.org」の立ち上げを現地時間2012年1月30日に発表した。発信元を偽装した詐欺電子メールを排除し、送信者と受信者間で正当なメッセージの確実なやりとりを実現するためのDMARC（Domain-based Message Authentication、Reporting ＆ Conformance）仕様ドラフトの策定などに注力する。 DMARC.orgにはGoogleとMicrosoftのほか、米Yahoo!、米AOL、米Bank of America、米Fidelity Investments、米eBay傘下のPayPal、米American Greetings、米Facebook、米LinkedIn、米AGARI、米

「How Malware Expands A Phishing Network」より September 26，2008 posted by Elad Sharf，Nicolas Brulez，Security Researcher 米ウェブセンスのセキュリティ・ラボでは，Webベースの脅威からユーザーを保護する「ThreatSeeker」で日常的に疑わしいURLを記録している。2008年9月中旬にこれらURLを詳しく調べたところ，スパム・メールに記載されたURLから手に入る興味深いファイルに気付いた。ThreatSeekerがこのスパムと思われる怪しいメッセージを隔離し開始したため，このURLの先にある問題のファイルを調査し，何か興味をそそる点がないか確認してみることにした。 このURLは，メキシコの電話会社クラロのプロモーション（自動車が当たる懸賞）を案内する，スペイン語のスパム・メー

「ドメイン名の所有者情報だけじゃ物足りない」，「フィッシング・サイトでないかどうかを確かめるためにWebサイトの情報を洗いざらい調べたい」という場合は，aguse.netを試してみよう。aguse.netは，調査したいサイトのURLや受信したメールのヘッダーを入力することにより，関連する情報を表示するサービスを提供している。 例えばWebサイトのURLを指定すると，ドメイン名情報のほか，Webサイトのページ写真から，実際に表示されるURL，サーバーの所在地までを表示してくれる（写真1）。サーバーの所在地は地図付きの画像で表示してくれる。これらの情報は，aguseが独自に集めた情報で，Webページ画像は7日ごとに取得している。 写真1●WebサイトのURLを指定すると，ドメイン名情報のほか，Webサイトのページ写真から，実際に表示されるURL，サーバーの所在地までを表示 [画像のクリックで拡

14歳の少年が偽装した「ヘルプ・お問い合わせ」画面の一部。偽ページでは上部フレームを表示していなかったほか、URL部分も偽装していなかったという。 警視庁ハイテク犯罪対策総合センターと池袋署は2006年5月30日、NHN Japanが運営するオンラインゲーム「ハンゲーム」のページを装い、フィッシング行為を行ったとして、名古屋市内に住む14歳の少年を、不正アクセス禁止法違反と著作権違反の疑いで書類送検した。 少年が作成した偽ページは同社の「ヘルプ・お問い合わせ」画面の一部。ハンゲームに無料登録したユーザーは、アバター（サイト内で自分の代わりをつとめるキャラクター）を持つことができるが、少年はこのアバターをまず偽装。通常、同社の運営スタッフしか利用できない「STAFF」と描かれた背景を使い、同社のスタッフになりすました。 そのうえで、ハンゲームを利用しているユーザーに対し、「ゲーム内で違反した

スウェーデンの銀行NordeaはZDNet UKの取材に対し、700万クローナから800万クローナ（約1億2000万〜1億4000万円）の被害を受けたと説明した。セキュリティ会社McAfeeはこれをオンライン銀行で発覚した「史上最大の」窃盗と呼んでいる。 Nordeaによると、同銀行の顧客は過去15カ月間にわたり、トロイの木馬を含んだ電子メールの標的になっていたのだという。 トロイの木馬が潜んだフィッシング電子メールの標的となったNordeaは、250人の顧客が詐欺にあったと推測している。McAfeeによると、スウェーデンの警察当局は事件の背後にロシアの犯罪組織がいると考えているという。現在、121人が関与を疑われている。 McAfeeによると、攻撃は、銀行の名前をかたったメールで顧客にトロイの木馬を送ることから始まるのだという。このなかで攻撃者は「スパム対策」アプリケーションをダウンロー