課題
URL単位のテイクダウンは、いたちごっこです。
攻撃者はドメインをまとめて取得し、数日で使い捨てます。URLを1件ずつ削除して1件ずつ課金するサービスでは、URLの裏側にあるホスティングアカウント、リダイレクタ、ネームサーバー、送信元、攻撃キット本体には手が届きません。次のURLが現れ、課金は続きます。
攻撃されるほど、費用が増える
件数に応じた課金では、費用が守りの成果ではなく攻撃者の手数に連動します。大きなキャンペーンを受ければ、請求も大きくなります。
ドメインは使い捨て。インフラはそうではありません
攻撃者にとってドメインの追加取得は安上がりです。続けるために必要なのは、その裏にあるアカウント、サーバー、ツールです。だから私たちはそこを狙います。
URLだけ削除しても、また戻ってきます
ページだけを消しても、同じキットが次のドメインで再開されます。私たちは攻撃の全体を把握し、すべてに通報し、再発を監視し続けます。
Konzetsuの特長定額の料金。すべてのレイヤー。本物の
定額の料金。すべてのレイヤー。本物のインテリジェンス。
攻撃の実態、つまり重層的で、繰り返され、使い回されるという性質に合わせて、このサービスを設計しました。
テイクダウン無制限、料金は月額定額
URLごとの従量課金はなく、大きなキャンペーンの後に想定外の請求が届くこともありません。どれだけ攻撃を受けても、予算を見通せます。
広くではなく、深く
攻撃には必ず複数のレイヤーがあります。そのすべてを見つけ、対処できる相手に個別に通報します。ホスティング事業者、レジストラ・レジストリ、DNS事業者、認証局、リンクサービス、送信元、ブロックリストの運営者などです。
通報だけでなく、調査まで
攻撃者のコードをテキストとして読み解き、その裏側のインフラを洗い出し、兄弟ドメインや同系統のサーバーを探します。事業者がすぐに動ける証拠を添えて通報します。
得られた知見が、次の防御になる
調査のたびにフィンガープリントと指標が得られます。これを検知システムに取り込み、隣接するインフラを見つけてテイクダウンします。攻撃に使われる前に止められる可能性もあります。
再開の監視
インフラ全体を監視し続け、再開されたら改めて通報します。
信頼できる証拠
取得したデータは暗号学的ハッシュとともに改変せずに保管します。すべての通報と後日の確認が、同じ事実に基づきます。
事業者の言語で連絡
通報は受け手ごとに、相手の通報窓口が使う言語と形式で作成します。
動かない事業者にはエスカレーション
すべての通報をフォローし、反応がない場合は次の窓口へ進めます。
案件ごとの明確なステータス
何を、誰に、いつ通報し、どうなったのか。推測は不要です。
メッセージングセキュリティの専門家が構築
TwoFiveは2014年の創業以来、メールとメッセージングのセキュリティに取り組んできました。
インフラ全体のテイクダウン
攻撃は積み重ねで成り立っています。そのすべてを止めます。
フィッシングページを消すのは、最も簡単な部分です。その裏のレイヤーにはそれぞれ対処できる事業者がいて、事業者ごとに必要な通報も異なります。
誘導メッセージ
対処できる相手： メール・SMS・メッセージング事業者
リダイレクタ・短縮URL
対処できる相手： リンク・リダイレクトサービス
ランディングページと
キット 対処できる相手： ホスティング・クラウド事業者
ドメイン名
対処できる相手： レジストラ・レジストリ
DNS
対処できる相手： 権威DNS事業者
TLS証明書
対処できる相手： 認証局
情報の送信先
対処できる相手： それらを提供するホスティング事業者や、利用されているメッセージングプラットフォーム
攻撃ツールと
取引の場 対処できる相手： 取引の場を提供するプラットフォーム
ブラウザと
セキュリティベンダー 対処できる相手： ブロックリスト・レピュテーションサービス（削除ではなく、保護します）
サービスの流れ最初の通報から
最初の通報から最後の複製まで、5つのステップ。
検知
お客様の窓口と、ブランドを狙う攻撃の監視から通報が届きます。
調査・マッピング
証拠を取得し、攻撃の裏にあるドメイン、ホスト、リダイレクタ、アカウントのすべてを洗い出します。
関係者すべてに
同時に通報 対処できる事業者それぞれに向けた通報を、並行して送ります。
エスカレーション
と確認 フォローとエスカレーションを行い、コンテンツが本当に消えたかを確認します。
再開の
監視と学習 監視を続け、得られた知見を検知に反映します。
インテリジェンスのループ
テイクダウンのたびに、次が速くなる。
後追いで対応するだけのサービスは、常に一歩遅れます。私たちはすべての案件を知見に変え、その知見を活用します。
調査
案件ごとに、キット、ホスティング、ドメイン登録、証明書まで分解して調べます。
フィンガープリント化
スクリプト名、ページ構造、ルーティング、インフラの癖など、特徴的な点を記録します。
探索と検知
フィンガープリントと指標を検知システムに取り込み、兄弟や複製を探します。
先回り
既知のパターンに合致する新しいインフラを、攻撃に使われる前に通報できる場合があります。
新たな発見のたびに、ループは最初から回り始めます。
対象のお客様お客様がフィッシングの被害に遭う
お客様がフィッシングの被害に遭う組織のために。
攻撃者に名前を使われると、被害を受けるのはお客様であり、信頼も傷つきます。
- 銀行・カード会社
- 決済・フィンテック企業
- EC・マーケットプレイス
- 通信・携帯電話事業者
- 官公庁・公共機関
- ブランドオーナー
- セキュリティサービス事業者（MSSP）
料金
月額定額。テイクダウンは無制限。
対象としたいブランドと地域、そして現在の状況をお聞かせください。月額定額のプランをご提案します。URL単位、ドメイン単位、テイクダウン単位の課金はありません。
- URL・ドメイン・テイクダウン単位の課金なし
- ページだけでなく、インフラ全体のテイクダウンを含む
- 経理部門が計画を立てやすい予算
社会への還元
得られた知見の一部は、みんなのものです。
1度止めた攻撃は、誰に対しても繰り返しにくくなるべきだと考えています。法令上許される範囲で適切な場合には、得られた知見をインターネット全体を守る組織と共有します。
TwoFiveについてメッセージング
メッセージングセキュリティが、私たちの専門です。
株式会社TwoFiveは、メッセージングシステム、メッセージングセキュリティ、スレットインテリジェンスを手がける、2014年創業の東京の企業です。2015年からM3AAWGに加盟し、JPAAWGの創設メンバーでもあり、フィッシング対策協議会の活動にも参加しています。