攻撃は積み重ね。そのすべてを止めます。
フィッシングページを消すのは、最も簡単な部分です。ページはホスト上にあり、ドメイン、DNSゾーン、証明書の裏にあり、誘導メッセージとリダイレクタを経由して届きます。盗まれた情報は、どこかへ送られます。各レイヤーには対処できる事業者がいて、事業者ごとに必要な通報は異なります。
レイヤー攻撃のレイヤーと、それぞれを
攻撃のレイヤーと、それぞれを止められる事業者
誘導メッセージ
被害者を呼び込むメール、SMS、メッセージアプリのメッセージ。
止められる相手メール・SMS・メッセージング事業者
リダイレクタ・短縮URL
本当の宛先を隠し、フィルタをすり抜ける中継。
止められる相手リンク・リダイレクトサービス
ランディングページと
キット 偽のページと、それを動かすコード。
止められる相手ホスティング・クラウド事業者
ドメイン名
被害者の目に入る名前。まとめて取得されることが多い。
止められる相手レジストラ・レジストリ
DNS
ドメイン名を機能させ続けるネームサーバー。
止められる相手権威DNS事業者
TLS証明書
偽のページを安全に見せる鍵のマーク。
止められる相手認証局
情報の送信先
盗んだ情報の行き先。管理画面、ボット、データ保管先。
止められる相手それらを提供するホスティング事業者や、利用されているメッセージングプラットフォーム
攻撃ツールと
取引の場 攻撃者が購入・賃借するキットやサービス。
止められる相手取引の場を提供するプラットフォーム
ブラウザと
セキュリティベンダー テイクダウン中にユーザーを守るブロックリスト。
止められる相手ブロックリスト・レピュテーションサービス（削除ではなく、保護します）
具体例（名称はダミーです）
1つの通報リンクから、攻撃の全体へ
お客様が https://lure.example/abc へのリンクを転送してくださったとします。このURLは、入口にすぎません。丁寧に調べると、その裏から次のようなものが見つかることがよくあります。
landing.exampleにたどり着くリダイレクタの連鎖- ページを配信しているホスティングまたはクラウドのアカウント
landing.exampleを登録したレジストラのアカウントと、同じ時期にまとめて登録された兄弟ドメイン- レジストリが停止した後も、しばらくドメインを機能させ続けることがあるDNS事業者
- 攻撃の数日前に発行された証明書
- 盗んだ情報の送信先を示すスクリプト
これらは、それぞれ別の受け手に、別の証拠を添えた別の通報になります。最初の1つだけを止めても、残りは次のキャンペーンのために残ってしまいます。
ブロックとテイクダウンは違います
役割が違うので、両方を行います。
ブロックはユーザーを守ります
ブロックリストは、ページがまだ稼働している間に訪問者へ警告します。ページを消すことも、その裏のインフラに手を触れることもありません。
テイクダウンは攻撃そのものを消します
テイクダウンは、ページを削除し、その裏のドメインとアカウントを停止させます。テイクダウンの進行中はセキュリティベンダーにブロックを依頼し、その間もお客様の顧客を守ります。