フィッシング犯罪者向けにカード情報の現金化サービスも、RSA調査

　RSAセキュリティは24日、フィッシングサイトの監視センター「AFCC（Anti-Fraud Command Center」がまとめた、2009年6月のオンライン不正状況レポートを公開した。6月に確認されたフィッシング攻撃は1万3021件で、5月に比べて10％増加。攻撃件数は2008年12月から増加傾向が続いており、「Rock Phish」と呼ばれる米国最大の犯罪者集団による攻撃も前月比で5％増加した。

　6月にフィッシング攻撃の標的となった企業数は207社で、5月に比べて11％増加。207社のうち77社は6回以上の攻撃を受けており、攻撃は特定企業に集中する傾向が高まっているという。攻撃を受けている国の割合は、1位が米国の55％、2位が英国の15％で、この2カ国の割合が依然として高い。以下は、3位がオーストラリアの7％、4位がカナダの6％、5位がイタリアの5％など。

　一方、フィッシングサイトがホスティングされた国の割合は、1位は米国の61％、2位はイタリアの21％となった。RSAセキュリティでは、犯罪者集団のRock Phishがイタリアを標的にしたため、イタリアの割合が急増したと分析。4月にも同様の理由で、スペインが米国を抜いてフィッシングサイトの最多ホスト国となったという。

　攻撃手法による分類でも、Rock Phishが用いるボットネットによる「Fast-Flux型」と呼ばれる攻撃が全体の56％を占めている。一方、SQLインジェクションなどを使った既存Webサイトのハイジャックは26％で、件数としてもやや減少傾向にある。

　RSAセキュリティでは6月のトピックスとして、不正に入手したクレジットカード情報を使って購入した商品を換金する「リシッピング詐欺」の実態を紹介。リシッピング詐欺は、不正入手カードによる商品購入役、商品の受け取り役、商品の換金役といった役割が分担されており、求人サイトなどで募集した一般人が商品の受け取り役となっているという。

　この一連の仕組みを用意しているのは商品の換金役で、商品の受け取りと換金をセットのサービスとしてオンラインで犯罪者に提供する。これにより、犯罪者はフィッシング詐欺などでカード情報を入手するだけで、カード情報を現金化する環境を手に入れられることになる。RSAセキュリティでは、こうした詐欺に必要なサービスを提供する「FaaS（Fraud-as-a-Service）」が既にグローバルに展開されており、この状況がフィッシング詐欺の増加にもつながっていると分析している。