新たな調査により、フィッシング詐欺の根底にある偽ウェブサイトの急成長中のエコシステムが明らかになり、安価な模造品からコンシェルジュレベルの顧客サポートを提供する特注の詐欺サービスまで、さまざまな価格と製品が明らかになった。
情報セキュリティ企業Clearskyは、ロシア語と英語圏で人気の地下掲示板やフォーラムを閲覧し、偽のウェブページ作成サービスを探しました。その後、研究者たちはインスタントメッセージ（主にJabber）を介して偽サイトのベンダーに直接連絡を取り、そのスキル、サービス内容、価格についてさらに情報を得ようとしました。
Clearsky 社は、15 社の異なるフィッシング詐欺ベンダーとともにこのプロセスを実行し、主に 2 種類の偽サイトの価格を調べました。1 つは認証情報を収集するために設計された不正な銀行ログイン ページ、もう 1 つは実際の銀行 Web サイトには存在しない偽造ページで、標的にクレジットカード番号、有効期限、CVV 番号を入力させるために設計されたページです。
さらに、Clearskyのチームは、ベンダーがオリジナルのウェブサイトを単に複製しているのか、それともゼロから開発しているのかを確認しました。複製ウェブサイトは作成が容易ですが、すぐに発見され削除される可能性が高くなります。
あるフィッシングサイトベンダーはセキュリティ研究者に対し、複製されたウェブサイトはChrome/Safariでブロックされることが多いと報告した。別のベンダーは、偽ウェブサイトの公開前期間を延ばすためのフィルターの追加を提案した。
Clearskyの調査によると、より有能なベンダーは、偽ウェブサイトをできるだけ長期間、検知されないよう維持する方法を議論している一方で、スクリプトキディのような業者は、ウェブサイトを単に複製することと、偽ウェブサイトをゼロから開発することの違いを理解していないという。一部のベンダーは、ウェブサイトを複製し、基本的な「クリーニング」、つまりHTMLとコンテンツに基本的な変更を加えるだけだという。
フィッシングサイトの料金表 [出典: Clearsky のブログ投稿]
偽ウェブサイトの作成には、開発者とデザイナーという2種類の作業者が必要です。開発者の中には、ウェブサイトのデザインや変更が必要な場合、サードパーティのデザイナーと協力する人もいます。
銀行のログインページの平均価格は約60ドルです。元のサイトを複製するだけの業者は約20～30ドル、偽のウェブサイトを一から開発する業者は50ドル以上、中には200ドルという価格を提示する業者もあります。
研究者が、実際のウェブサイトには存在しない追加ページ（クレジットカード情報を盗むために設計されたページ）の価格について尋ねたところ、追加の開発と設計作業が必要になるため、料金が大幅に高くなる傾向がありました。
一部のベンダーは、サイバー犯罪者が盗んだ認証情報を容易に収集し、場合によっては再販できるようにするツールやコントロール パネル (以下の例) も開発しています。
フィッシングサイトコントロールパネル [出典: Clearsky]
Clearsky の報告によると、ベンダーの中には、さまざまなインセンティブを通じて違法サービスの販売を積極的に推進しているものの、大胆な広告を掲載しているところもある (下記に例)。
「ほとんどのベンダーは自社のサービスを宣伝するために非常に熱心に取り組んでおり、さまざまなフォーラムで常に話題を盛り上げている。また、ほとんどのベンダーの基本価格は比較的低いものの、適切な評判を得るために、さまざまなアクションや割引を提供している」と研究者らは述べた。
たとえば、あるベンダーは、期間限定のオファーの一環として、.de トップレベル ドメイン上に偽の Web サイトを無料で作成することを提案しました。
配達時間は業者によって異なり、10 分から 1 時間で作業を完了する業者もあれば、数日かかる業者もありました。
カラフルな広告がフィッシングサイト作成サービスを宣伝 [出典: Clearsky]
Clearsky の完全なレポート 「フィッシング Web サイト作成の背後にある経済」は、こちら (PDF) でご覧いただけます。®
