詐欺ドメインの見分け方 Google翻訳や短縮URLを使った偽装手口に注意

私はふだん、PCのメーラーでメールを送受信しています。携帯電話のメールアプリと違い、HTMLソースやヘッダー情報が表示できるため、詐欺メールかどうかを判断するのにとても便利です。

最近の詐欺メールは、Return-Path まで偽装されているものもあり、どんどん手口が巧妙になってきていると感じます。
私は念のため、HTML形式ではなくテキスト形式でメールを受信しています。 （家族からメールが来たときは「よろしくね���」のように絵文字が文字化けしますが、気にしません！）

ここでは、そうした詐欺メールに含まれるリンク先のドメインについて、私が実際に調査したことや感じたことを書いてみたいと思います。

① ドメインが詐欺サイトかどうかを調べる方法

URLが詐欺サイトかどうか調べられるサイトは、いくつかあります。
今回は、信頼性の高い検査サイトScamAdviserを使って確認してみました。
URLを入力するだけでスコアで結果を表示してくれるのでわかりやすいです。
また、サイトの基本情報も表示されるので参考になります。

まず最初に、私のサイトをテストしてみたところ、スコアは「100点」でした。

次に、明らかに詐欺と思われるドメインを調査してみました。
これは、実在する金融機関を装ったメールのリンク先です。
結果は予想通り「1点」でした。

さらにサイト情報を見ると、ドメインの取得日が昨日になっていました。
こうした詐欺サイトは、短命で使い捨てのものが多いのも特徴です。

他にもいくつか調査しましたが、ほとんどが1点でした。
中には「85点」と比較的高い評価のドメインもありましたが、以下の注記が表示されていました。

WEBサイトがオフライン状態になっているということですが、「以前は正規の企業が使っていたが悪用されて閉鎖された」のかもしれません。

いずれにしても、ScamAdviserのようなサイトを利用する場合、疑念の確認のためには便利ですが、スコアが高かったからといって安易に信用してアクセスしてしまうのは止めておいたほうがよいでしょう。
ScamAdviserのスコアはひとつの参考情報であるので、他の同類のツールやサイトなどと併用することをおすすめします。

② Google翻訳を悪用したフィッシング詐欺メール

次は、Google翻訳を悪用した偽装URLの例です。

以下のようなURLは、一見するとどこが怪しいのかパッと見ただけではわかりません。

◇.co.jp が実在の証券会社サイトのドメインとします。

◆.com が詐欺サイトのドメインとします。

このURLをクリックすると、Google翻訳のページ経由で、詐欺サイト ◇.◆.com に接続されてしまいます。

URLを分解して、一つ一つ見ていきます。

https://translate.google.com/translate
本物のGoogle翻訳サイト
このGoogle翻訳を経由して詐欺サイト(◇.◆.com)に接続させる仕組みになっています。

?https://www.◇.co.jp/
公式のURLですが、翻訳対象ではなく無視されます。つまりダミーURLです。

lgrae=auto
意味不明なパラメータなので解釈されません。本来なら lang=auto でしょうか？

&tl=ja-JP
&hl=ja-JP
tl(target language)は翻訳先の言語。hl(host language)は、どの言語で表示するかです。
Google翻訳で実際に使われる正しいパラメータですがURL構造が破綻しているため正しく機能しません。

&client=vwtcrjlht
本物っぽく見せる偽パラメータです。

?https://hometrade.◇.co.jp/web/tnjIndexWebAction.so
公式サイトのURLを末尾に添えて、本物っぽさを演出していますが無効なパラメータです。

このように、Google翻訳を装いながら、詐欺サイトに誘導する仕掛けになっています。
この ◆.com を ScamAdviser で調べたところ、案の定「1点」でした。

③ 短縮URLは展開してから調べる

Bit.ly などの短縮URLは、ScamAdviser にかけても「短縮URL提供元」しか調べられません。
そのため、あからじめURLを展開してから調査する必要があります。
私は、URL展開サービスである「Unshorten」や、URLリダイレクトチェッカーの「WhereGoes」を利用しています。

Unshorten
https://unshorten.me/
WhereGoes
https://wheregoes.com

これらでリダイレクト先を確認してから、詐欺サイトと思われるドメインを ScamAdviser でチェックします。

④ 「https＝安全」はもう神話

かつては、「https のサイトは信頼できる」と言われていました。
というのも、昔はSSL/TLS証明書の発行に費用や審査が必要だったからです。
しかし現在は、無料のSSL証明書（Let's Encryptなど）が数分で取得可能になり、詐欺サイトでも https を使うのが当たり前になっています。
実際、今回調査した詐欺サイトはすべてhttpsでした。
誤解しがちですが、https は「通信の暗号化」であって、サイトの安全性を保証するものではありません。
SSL発行元が「Let's Encrypt」となっていたら、それは誰でも取得できる無料証明書である可能性が高く、信頼性の根拠にはならないです。

今回は殆ど、なりすまし系(偽カード会社、偽証券会社、偽銀行、偽ネットショップ、偽運送会社、偽通信会社)のドメインを調査したのですが、ほぼScamAdviserの評価が「1点」でした。
それに対しセクシー系は「1～50点」と若干評価は高めでした。
判定アルゴリズムに違いがあるのかな？