go.jp下のサブドメインに「乗っ取り」の恐れ…ネットワーク研究者 による「保護」も

問題となったサブドメインは、DNSのCNAMEレコードやNSレコードで参照していた外部サーバーが解約等で空いている状態(Dangling Record等と呼ばれる)となり、第三者が同じサーバー名で契約を行うことにより、「偽サイト」の設置や、Let’s EncryptによるHTTPSサーバー証明書の発行等が可能となっていた模様です。

JPRSの注意喚起では、前述した手口の事例を取り上げるとともに、サービスを終了したWebサイト等のためのDNS設定(CNAME・NSレコード等)を削除・変更することや、ツール等を用いての削除・変更漏れの検知・修正等を推奨していますが、サービス自体が継続中でも、参照する外部サーバー等に変動があった場合、使わなくなったサーバーへの参照は削除するよう注意してください。

「可能な限り新規ドメイン名の取得ではなく既存のドメイン名下に置く」ことは当欄でも度々推奨していましたが、その際にも別途(これまで考慮していなかったような)必要な技術的対策があることに留意すべきです。

報告件数はついに20万件の大台を突破、フィッシングサイトのURL件数も10万件越えでそれぞれ過去最多を更新しています。

毎月の発表によれば、フィッシングメールの大量送信を行うIPアドレスにはDNS PTRレコード(IPアドレスからの逆引き)が設定されていないケースが多く(今月度は全体の約97.5%を占めているとのことです)、大手メールサービスでは既にこのようなアクセス元からのメールを受信しない設定となっているものもあるとされ、自組織のメールサーバーにおいても受信しない設定を採用することは、フィッシング・スパムメールの大幅な遮断に有用とみられます(ただし実際の取引先からのメールを誤って遮断しないよう、サーバー管理者において慎重に確認する必要はあるでしょう)。

同協議会からの特定のフィッシングへの注意喚起は最近では12月上旬に3件あったのみですが、日本データ通信協会の迷惑メール相談センターには日々20件前後のフィッシングメールが掲載されており(https://www.dekyo.or.jp/soudan/contents/news/alert.html )、利用しているサービスについて不審なメールを受信した際はこういった情報等と文言が一致するか確認するとともに、本物のサービスのサイトへは事前に登録したブラウザーのブックマークやスマホアプリからアクセスする等、慎重に行動することを日々心掛けましょう。