スパムが無くなることはありません。そしてスパムが増え続けているのには理由があります（英語）。すなわちスパムは未だに効果的な攻撃手段だからです。そして、.xyzや新たなTLD（トップレベルドメイン）からの大量のスパムについて考察すれば、なぜこの卑劣な手口がこんなにも効果的であるのかを理解することができるのです。
なぜハッカーは.xyzや新たなトップレベルドメインを好むのか
サイバーサウナポッドキャスト（英語）のホストであるJanne Kauhanen（ヤンネ・カウハネン）（英語）は次のように述べています。「ハッカーがこのような[手法]を好む理由は、どのトップレベルドメインも、何度もドメイン登録することができるからです。たとえば、Microsoft.comが既に登録されていても、Microsoft.xyzはまだ登録されていない可能性があります。」
エフセキュアのセキュリティコンサルタントであり、「We need to talk about InfoSec（InfoSecについて話すべき）（英語）」というポッドキャストのホストでもあるLaura Kankaala（ローラー・カンカーラ）（英語）は、次のように述べています。「たとえば、.xyz、.pharmacy、.family、あるいは.clubの購入価格は、通常、.com、.fi、またはこれらの種類のトップレベルドメインよりもはるかに安価です。」
ハッカーはこれらの新しいドメイン名をそれぞれ$1以下で購入することができます。このように非常に低価格でありながら、犯罪者は信用という極めて貴重なものを手に入れることができるのです。
オンライン犯罪者は、あなたの頭脳をあなたに向けて使う専門家
エフセキュアのPhishd専門家は、人々にもっと知って欲しいとの思いから、最新の学術研究に基づいて人をだますテクニックを説明するモデルを作成しました（英語）。これは、一般的に「ソーシャルエンジニアリング」として知られています。
.xyzなどの新たなトップレベルドメインの使用は、このモデルの「類似性」の下にある信憑性のセクションにぴたりと当てはまります。
信用するからクリックする
Microsoftから送信されたEメールを見ても、実際の送信元のドメインを確認することはできません。
「信憑性を与えることは、今日の脅威アクターの得意とするところです。」とPhishdは警告しています。「受け取る予定があるEメールに酷似したEメールを偽造すれば、ハッカーは簡単に攻撃に成功することができます。」
本物のように見えるドメインを、本物のように見えるスパムメールに追加すると、特にURLの一部が画面に収まりきらないモバイルデバイスでは絶大な効果を発揮します。
恐怖、利益、および信憑性がフィッシング詐欺を成功に導く
恐怖、利益、および信憑性として説明されているように、効果的なソーシャルエンジニアリングのための要素が他にもあることがわかります。
「恐怖ゾーンには、権威と緊急性があります。当社の調査と実際のプロジェクトでの作業において、社内の先輩から送信されているように装ったフィッシングキャンペーンを数え切れないほど見てきました。」とPhisdはコメントしています。「それらは極めて効果的です。」
個人アカウントを標的にしているケースにおいて、「恐怖」には請求書や納税通知を装ったEメールが含まれます。
一方で「利益」は、たとえば無料のランチを提供することで欲望を刺激することなどがあります。
「景品、値引き、お得な情報のいずれであろうと、なんらかの報酬を提供しようとします。そして私たちの多くは、一息置いて考える間もなくクリックしてしまうのです。」とPhishdは注意を喚起しています。
プレゼント付きのEメールに注意
「配信失敗」のフィッシングメールは、恐怖と利益の組み合わせと考えられます。「配信失敗」を受取ると、注文したものが手に入らないという「恐怖」が生じます。すべてではないとしても多くの人々は、オンラインで購入したものはすぐ配達されることを期待しているからです。また、「配信失敗」には「利益」も絡むことが有ります。誰かが何かを贈ってくれようとしているかもしれないと思うからです。
一方で、「類似性」と「注意散漫」の組み合わせだけでは信憑性がなければ、だまされる可能性ははるかに少なくなります。Eメールのリンクはクリックせずに、取引きしているストアや組織の正しいURLを直接アクセスするのが正しい方法です。さらに、もっと賢い方法は直接電話することです。
心理学の達人でないとオンライン詐欺師にはなれませんが、.xyzや新たなトップレベルドメインは、詐欺師達に信憑性を高める新たな手段を提供します。それは、また新たに金を稼ぐ手段でもあるのです。
そしてそれが成功している限り、彼らは決して攻撃の手を緩めることはないでしょう。
カテゴリ