USPS をターゲットとするフィッシングキャンペーンの Web トラフィック量は USPS 自体の Web トラフィック量と同程度であることが明らかに

• 2023 年のホリデーシーズンの後、Akamai の研究者たちは米国郵便公社（USPS）に関連しているように見せかけている大量の悪性のアクティビティやドメインを発見しました。

• Akamai の研究者たちは、5 か月間の正当なドメイン（usps[.]com）への DNS トラフィックと、コンボスクワッティングされたドメイン名への不正な DNS トラフィックを比較しました。 

• この分析により、収集された悪性ドメインへの DNS クエリーの数は一般的に usps[.]com へのクエリーの数とほぼ同程度であり、ピーク時には上回ることもあることが明らかになりました。

適用したフィルタリング条件は非常に厳格であり、us.ps393[.]com や usps.parceltracker-us[.]com のような完全修飾ドメイン名は含まれていません。そのようなドメイン名にはサブドメインが含まれるからです。正確性を確保するために、コンボスクワッティングの手法を使用した最も明白なサンプルのみを収集しました。

厳格なパラメーターを使用したということは、私たちの分析は非常に保守的であるということです。それでも、悪性トラフィックの量は膨大でした。つまり、これらのなりすましによって実際に生じている影響は途方もないということです。USPS になりすましている悪性ドメインをもっと多く収集することは確かに可能でしたが、このデータセットにフォールス・ポジティブ（誤検知）が含まれないようにすることが極めて重要でした。

その後の統計データはすべて、この分析のために用意されたデータサンプルに基づいています。非常に大規模なサンプルかもしれませんが、あくまでもサンプルであり、サンプルの規模に応じてすべての数値が低くなっています。これは、悪性のデータセットと正当な usps[.]com のデータセット自体の両方に当てはまります。

表 1：最も DNS トラフィックの多かった悪性ドメイン

図 3 の青い棒を再度見てみると、11 月 23 日に usps-stampservice[.]com にトラフィックが発生し始めたことがわかります。これはブラックフライデーの 1 日前です。そして、12 月 1 日まで活発でしたが、その後トラフィックがなくなりました。これは、そのタイミングでサイバー犯罪者が被害者にテキストメッセージを送信するのをやめたからだと考えられます。この Web サイトは現在アクセスできないため、おそらく閉鎖されています。

次に、もう一方のドメイン uspspost[.]me（図 3 のオレンジ色の棒）を見てみましょう。このドメインはクリスマス期間だけでなく、興味深いことに 12 月 6 日もターゲットにしていたようです。これが 聖ニコラスの日にトリガーされたのだとしたら、このキャンペーンのターゲットは非常にニッチです。なぜなら、聖ニコラスの日は米国のごく一部の地域でしか祝われていないからです。また、このキャンペーンは、サイバーマンデーを引きずっている顧客をターゲットにしている可能性もあります。

表 2：最もよく使用されている、悪性コアドメインに関連する TLD

[.]com TLD は、新しいドメインの登録に最もよく使われています。私たちのデータでは、重複を除いて約 4,500 件の .com ドメインが確認されました。[.]com は全世界の被害者に親近感と正当性を感じさせることができるため、これは驚くべきことではありません。

その他にも、[.]top TLD が攻撃者に好まれているようです。この TLD を使用したドメイン名は 3,000 件以上あり、2 番目に多いです。この一般的な TLD は中国のテクノロジー企業が運営しており、フィッシングキャンペーンで使用される悪性の TLD としてよく知られています。

興味深いことに、この表には [.]world TLD がありません。その理由は、[.]world には計 170,126 件のクエリーがありましたが（[.]com と [.]top に匹敵）、そのうち 99.5% が usps-post[.]world へのクエリーだったからです（usps-post[.]world は最もクエリーの多かったドメイン名であることに注意してください）。この TLD を使用したドメイン名はごくわずかしかありませんでした。

表 3：悪性コアドメインの IP アドレス

QuadraNet に属する IP を指すドメイン名はわずかしかありませんが、トラフィックは大量です。

Amazon を指す IP には多数のドメイン名がありますが、各ドメインが関与するクエリーの数は少ないです。

これは、2 つの異なるフィッシング攻撃があるということで説明できそうです。一方では、詐欺師たちは数多くのさまざまなドメイン名にトラフィックを分散させることにしました。 もう一方のキャンペーンは少数のドメインにまたがっており、各ドメインに大量のトラフィックが発生しています。

また、時間の経過とともに何が起こっているかを確認することができます。図 7 は、クエリー総数の週ごとの内訳を示しています。

トラフィックは、普通の日には同程度ですが、 一部の週では悪性ドメインが usps.com 自体よりも多くのクエリーを受けています。これらのピークは、米国において 1 年で最も配達の多い時期である感謝祭（ブラックフライデー）とクリスマスホリデーの頃に発生しています。

攻撃者はこのような贈り物の習慣のある祝日を強く意識しており、それに応じて USPS フィッシングキャンペーンのタイミングを調整しているようです。もちろん、それらの日にちの頃には荷物が届くことを予想している人が多いため、攻撃者がそうするのは理にかなっています。また、ホリデーシーズンは特に忙しい時期であるため、人々は詐欺メッセージをクリックするなど、普段なら犯さないケアレスミスを犯す可能性が高いです。

私たちの調査では、特にクリスマスと感謝祭のホリデーシーズンに USPS がテキスト詐欺による攻撃を受けていることがわかりました。この ホリデーシーズンには贈り物を購入する習慣があるからです。

明確な USPS の頭字語を含むドメインのみを計測した場合でも、悪性ドメインと usps[.]com でクエリー総数はほぼ同じです。この分析では 5 か月間のクエリー総数の 51% を USPS が占めていましたが、私たちは厳格な条件でデータをフィルタリングしたため、実際には悪性トラフィックが正当なトラフィックよりもはるかに多いと考えられます。USPS を例として使用しましたが、このコンボスクワッティングの手法は世界中でフィッシングキャンペーンに使用されています。その理由は、極めて成功しやすいからです。

攻撃者は 2 つの異なるアプローチを使用していました。数多くの異なるドメイン名にトラフィックを分散するか、少数のドメインを使用してそれぞれに大量のトラフィックを発生させるかです。これは、難読化を目的としている可能性があります。なぜなら、通信事業者やその他のホスティングプロバイダーはこのような詐欺が至る所で行われていることに気付いており、そのようなページを特定して削除しようとしているからです。詐欺を排除するためには細心の注意を払わなければならないことを考えると、そのような詐欺が成果をあげており、上述のような観測結果が出ていることは、より一層の不安を引き起こします。

Akamai は今後も、お客様とセキュリティコミュニティ全体の両方を危険にさらすこのような脅威を監視し、報告してまいります。