Cloudflare、グローバルネットワークを活用し、最もフィッシング攻撃に悪用されている上位50ブランドを発表

金融、テクノロジー、電気通信業界のブランドが最もフィッシング攻撃に悪用されやすいことが明らかに

セキュリティ、パフォーマンス、信頼性を備えたより高度なインターネットの構築を支援するCloudflare（クラウドフレア）は、本日、最もフィッシング攻撃で悪用されている上位50ブランドに関するグローバルレポートを発表しました。現在、全世界のWebサイトの内、ほぼ20%がCloudflareのグローバルネットワークによって保護されており、Cloudflareが提供するメールセキュリティによって、2022年には23億件もの迷惑メールが受信トレイへの到達前に阻止されました。その結果、Cloudflareの機械学習とデータ分析によって、インターネットユーザーが最も頻繁にクリックするフィッシングドメインに関する独自の見識が得られ、顧客をより積極的に保護できることが可能になりました。

「フィッシング」とは、ユーザー名やパスワード、クレジットカード番号、銀行口座および暗号口座の情報などの重要な機密情報を盗み出し、盗んだ情報を利用したり販売したりしようとする行為を指します。今日、「フィッシング」は最も急速に拡大を続けているインターネット犯罪であり、消費者と企業の両方にとって脅威となっています。攻撃者は、信頼できる情報源になりすまし、時には誘惑するような、またある時には平常心を失わせるような内容で消費者や企業の従業員をおびき寄せ、だまそうとします。これは、漁師が餌で魚を釣る様子と似ていますが、多くの場合、これらの行為では、悪意のある攻撃者が送り付けたメールやテキストメッセージ、あるいは有名ブランドのURLに見えるような文字列のURLなどが使われています。

Cloudflareの共同創設者兼最高経営責任者（CEO）であるマシュー・プリンス（Matthew Prince）は、「フィッシング攻撃は、私たちが日常的に愛用しているブランドの信頼を餌に増大しており、デジタルに精通した人でさえも、なりすましを見破ることは難しくなっています。メールの『from』フィールドのスペルミスを見落としたり、誤って不審なURLをうっかりクリックしてしまったがために、私たちの安全性や、銀行口座、パスワードが危険にさらされることがあってはなりません。Cloudflareは、新たなフィッシングサイトに対するリアルタイムの防御機能を備えたゼロトラストサービスを拡張し、ユーザーが信頼しているブランドを悪用した詐欺や攻撃の犠牲にならないようにしました」と述べています。

2022年に最もなりすましが多かったブランド上位50件

2022年にフィッシングURLで最もなりすましが多かったブランド上位50件は以下の通りです（日本拠点の企業・組織は太字で記載）。

1. AT&T Inc.
2. PayPal
3. Microsoft
4. DHL
5. Facebook (Meta)
6. Internal Revenue Service
7. Oath Holdings/Verizon
8. 三菱UFJニコス
9. Adobe
10. Amazon
11. Apple
12. Wells Fargo & Company
13. eBay, Inc.
14. Swiss Post
15. Naver
16. Instagram (Meta)
17. WhatsApp (Meta)
18. 楽天
19. 東日本旅客鉄道（JR東日本）
20. American Express Company
21. KDDI
22. Office365 (Microsoft)
23. Chase Bank
24. イオン／AEON
25. Singtel Optus Pty Limited
26. Coinbase Global, Inc.
27. Banco Bradesco S.A.
28. Caixa Econômica Federal
29. JCB
30. ING Group
31. HSBC Holdings plc
32. Netflix Inc
33. 三井住友銀行
34. Nubank
35. Bank Millennium SA
36. 警察庁
37. Allegro
38. InPost
39. Correos
40. FedEx
41. Microsoft
42. United States Postal Service
43. Alphabet
44. The Bank of America Corporation
45. Deutscher Paketdienst
46. Banco Itaú Unibanco S.A.
47. Steam
48. Swisscom AG
49. LexisNexis
50. Orange S.A.

Cloudflareは、本レポートで、金融、テクノロジー、および電気通信業界のブランドが最も頻繁になりすましに悪用されていることを明らかにしました。その背景には、銀行口座、メールアドレスやソーシャルメディア、および電話会社が攻撃者にもたらす、情報へのアクセス権や金銭的メリットが、過去に前例がないほど大きくなっているという理由があります。テクノロジーおよび電気通信企業へのフィッシング攻撃が成功すると、二要素認証を介してユーザーの本人確認に使用される電子メールやテキストメッセージを傍受できるため、特に攻撃者に狙われやすいという事情があります。そして、この業界の企業へのフィッシング攻撃は、他のアカウントの安全性をも連鎖的に損なう危険性をはらんでいるのです。 

「Cloudflare One」による新たなフィッシング対策
本日、Cloudflareは、現時点で最も包括的で効果的なフィッシング対策をユーザーに提供するための新機能も発表しました。「Cloudflare Area1」が直近で発表した高度なゼロトラストメールセキュリティツールをもとに、不審なドメインを自動かつ即座に識別してブロックし、企業ネットワークをより適切に保護できるようになりました。このサービスを使用することで、昨年の夏に、Cloudflareをはじめとした約100社を脅かした、「cloudflare-okta.com」という誤解を招きやすいドメインが攻撃者によって作成されてからわずか40分後に従業員に送信された攻撃と同様のフィッシング攻撃から企業のネットワークを保護することができます。ユーザーは、「Cloudflare Gateway」を使用することで、ゼロトラストルールを作成し、従業員がこれらの不審なもしくは類似のドメインに騙されたり、閲覧したりするのを防止することができます。

レポート作成方法
本レポートの作成にあたり、Cloudflareは、「1.1.1.1 DNS リゾルバー」の解決データを使用して、最もよくクリックされたフィッシングURLに関連したドメインを検出しました。フィッシング攻撃であると識別できなかった共有サービス（ホスティングサイトである Google、Amazon、GoDaddy など）に使用されているドメインは、データセットからすべて削除されています。

本レポートと関連する情報についての詳細は、以下のリソースをご覧ください。

Top 50 most impersonated brands in phishing attacks and new tools you can use to protect your employees from them
https://blog.cloudflare.com/50-most-impersonated-brands-protect-phishing/

The mechanics of a sophisticated phishing scam and how we stopped it
https://blog.cloudflare.com/2022-07-sms-phishing-attacks/

Cloudflare、フィッシング攻撃から企業を保護する包括的なメールセキュリティとデータ保護ツールを発表
https://prtimes.jp/main/html/rd/p/000000042.000061678.html

Cloudflare Area 1
https://www.cloudflare.com/ja-jp/products/zero-trust/email-security/

Cloudflare Security Week 2023
https://www.cloudflare.com/ja-jp/security-week/

Cloudflare（クラウドフレア）について
Cloudflare, Inc.（ https://www.cloudflare.com/ja-jp/ /@cloudflare）の使命は、より良いインターネットの構築をサポートすることです。Cloudflareの製品は、ハードウェアやソフトウェアの追加、コードの変更を行うことなく、あらゆるインターネットアプリケーションを保護、高速化します。Cloudflareのインテリジェントなグローバルネットワークを経由することによって、インターネットプロパティのすべてのトラフィックがリクエストを受け取るたびにスマートになります。その結果、パフォーマンスが大幅に向上し、スパムやその他の攻撃が減少します。Cloudflareは、2020年に「Reuters Events for Global Responsible Business」から表彰され、2021年にはFast Company「Most Innovative Companies」に選出、2022年にはNewsweek「Top 100 Most Loved Workplaces」にランクインしています。

将来予想に関する記述
本プレスリリースには、将来予想に関する記述（1933年米国証券法第27A条および1934年米国証券取引所法21E条（いずれもその後の改正を含む）に該当）があり、それらには重大なリスクおよび不確定要因が含まれています。将来予想に関する記述は、「場合があります」、「つもりです、するでしょう」、「はずです」、「見込まれます」、「可能性を探ります」、「する計画です」、「予想します」、「かもしれません」、「意図しています」、「目標とします」、「見積ります」、「検討します」、「考えます」、「推測します」、「予測します」、「潜在的」、「引き続き」、またはそれらの否定表現、あるいは当社の予想、戦略、計画、または意図に関わるその他同様の用語もしくは表現によって識別することができます。しかし、すべての将来予想に関する記述にこうした語句が含まれているわけではありません。本プレスリリースで明示または暗示されている将来予想に関する記述には、以下に関するものを含みますが、それらに限定はされません。Zero TrustソリューションのCloudflare Oneスイート（Cloudflare Area 1を含む）、およびCloudflareの他の製品およびテクノロジーの性能と有効性。Zero TrustソリューションのCloudflare Oneスイート（Cloudflare Area 1を含む）、およびCloudflareの他の製品およびテクノロジーの使用によってお客様が得られるメリット。Zero TrustソリューションのCloudflare Oneスイート（Cloudflare Area 1を含む）、およびCloudflareの他の製品およびテクノロジーの使用によってお客様が得られる想定される機能とパフォーマンス、Cloudflare Oneに含まれるさまざまな新機能（Cloudflare Area 1を含む）が、Cloudflareのすべてのお客様（現行および見込み）に一般公開されるタイミング。Cloudflareの技術開発、将来の運用、成長、イニシアチブ、または戦略。CloudflareのCEOその他のコメント。当社が2023年2月24日に米国証券取引委員会（SEC）に提出した年次報告書（フォーム10-K）や当社がSECに随時提出するその他の文書で詳説するリスク（ただしこれらに限定はされない）をはじめ、さまざまな要因によって、上記の将来予想に関する記述で明示または黙示した結果と実際の結果との間に重大な相違が生じる可能性があります。

本プレスリリースに含まれる将来予想に関する記述は、あくまで記述当日現在の事象について言及しています。Cloudflareは、法律で義務付けられた場合を除き、本プレスリリースの日付以降の事象や状況を反映するために、あるいは新しい情報や予期しない事象の発生を反映するために、将来予想に関する記述を更新する義務を負いません。Cloudflareが将来予想に関する記述で開示した計画、意図、予想は実際に実行・達成されない場合があるため、当社の将来予想に関する記述に過剰に依存すべきではありません。

© 2023 Cloudflare, Inc. All rights reserved. Cloudflare、Cloudflareのロゴ、およびその他のCloudflareのマークは、米国およびその他の法域におけるCloudflare, Inc. の商標や登録商標です。本書に記載されているその他の商標および名称は、各所有者の商標である可能性があります。