なくならないフィッシング詐欺の対策に、ブロックチェーン技術を利用する試み

URLをデータベース化することによって、送られてきたURLが安全かどうかをユーザに知らせる──。コンテンツフィルタリング用ツールを提供するメタサートは、そんな驚くほどシンプルな方法でフィッシング詐欺と戦っている。しかし、膨大な量のURLの情報を集めるには途方もない労力がかかる。そこで同社が利用しようとしているのが、ブロックチェーンだ。
なくならないフィッシング詐欺の対策に、ブロックチェーン技術を利用する試み
IMAGE: GETTY IMAGES

フィッシングは、まだまだなくなりそうにない。セキュリティ企業のProofpointが実施した調査によると、2017年にフィッシング攻撃を受けていた企業や組織は全体の4分の3にものぼるという。なかにはセキュリティに精通したユーザーが騙されたケースまであった。

そんなフィッシングメールと驚くほどシンプルな手段で闘い続けているのが、メタサート(MetaCert)という企業だ。同社はフィッシングに使われるウェブアドレスを7年にわたってデータベース化しており、現在もユーザーとともに日々新たな不審アドレスを報告している。

このフィッシングアドレスのデータベースと同じくらい重要なのが、安全なウェブアドレスのデータベースだ。PayPalのような決済サーヴィスやネットショッピング、銀行など、ハッカーがなりすましがちな企業の本物のメールアドレスが登録されている。

メタサートが開発した同名のソフトウェア「MetaCert」は、これらのデータベースを参照してメールに埋め込まれたウェブアドレスをチェックし、安全なリンクの横に緑の盾マーク、フィッシングサイトには赤の盾マーク、不明なサイトにはグレーの盾マークを付けてくれる。

セキュリティの「最終防衛ライン」

もちろん、フィッシング詐欺をブロックするツールはほかにもたくさんある。理想的なのはメールボックスに入る前にブロックするタイプのものだ。このタイプのツールは、ユーザー報告とアルゴリズムを組み合わせて構築されていることが多い。

例えば、アガリ(Agari)というセキュリティ企業は、機械学習を利用して各ユーザーが普段やり取りするメールのパターンを把握しておく手法をとっている。そうすることで、不審な挙動をする詐欺目的のメールをブロックできるのだ。

しかし、どんなに強力な保護を施したとしても、必ずそれを出し抜くフィッシング攻撃が現れる。

メタサートが狙っているのは、フィッシング攻撃をブロックするほかのツールに取って代わることではなく、それに加わるかたちで最終防衛ラインとして機能することだ。

だからこそ、グレーの盾マークが重要になる。たとえメタサートにとって未知のフィッシングリンクでも、不明なサイトであることを知らせる印を付けておけば、ユーザーが本物との違いを見つけやすくなるからだ。

「ほかのメールセキュリティソフトをアンインストールしてください、などとは言いません」と、同社創業者で最高経営責任者(CEO)のポール・ウォルシュは言う。「グレーの盾マークを目にしたときに、一度立ち止まって考えてほしいだけなんです」

サードパーティアプリの欠点

MetaCertはすでにiOSの標準メールアプリで利用可能になっている。グーグルやマイクロソフトなどが提供する主要メールサーヴィスと同期させる場合にも利用可能だ。

アップルのデスクトップメールクライアント向けのヴァージョンも、12月6日にリリースされている。現在は無料で利用できるが、ウォルシュによると将来は有料にする予定だという。iOSの標準メールアプリ以外にも、GmailやMicrosoft Outlookといったメールアプリに対応したヴァージョンの発表も予定されている。

MetaCertが採用するアプローチには欠点もある。サードパーティー製のメールアプリの多くがそうであるように、MetaCertはプロキシーとして機能する。つまり、メールがサーヴァーを通過する際に不審なリンクがないかチェックするということだ。

GmailとOutlook.comの場合はMetaCertにメールのパスワードを記憶させる必要はなく、MetaCertがメールにアクセスする権限を許可するだけでよい。しかし、こうしたサードパーティー製ソフトウェアのアクセスに対応していないメールサーヴィスについては、MetaCertの機能を有効にするために、端末にそのメールサーヴィスのパスワードを保存しなければならない。

ただし、アップルやヤフーなど一部のメールサーヴィスでは、メインパスワードを使用する代わりに「アプリケーション固有のパスワード」などと呼ばれるパスワードを設定することができる。

メタサートの最高製品責任者(CPO)を務めるショーン・ゴチャーによれば、使用するパスワードは端末にとどまり、決してMetaCertのサーヴァーに保存されることはないという。同様にメール自体もサーヴァーで処理されるが、保存されることはないとのことだ。

これによってリスクは低減されるのかもしれない。しかし、いずれにしてもMetaCertを使用すればメールアカウントへのアクセス権をメタサートに与えることになる。

100億件のデータ集めを支えたもの

MetaCertにはGoogle Chromeの拡張機能も含まれている。これは、フィッシングサイトにつながるリンクを含むサイトを開こうとすると警告を表示してくれるものだ。

Slack、Skype、Telegramといったチャットアプリで、フィッシングリンク付きのメッセージが送られてきた場合、自動的に印をつけて削除してくれる機能もある。これらはすべて、同じデータベースを参照して実行される。

アガリのCEOであるラヴィ・カトッドは、MetaCertが追加の防御策として有用だろうと語っている。一方で、インターネット上のすべてのウェブサイトをカタログ化して危険度をレーティングするという取り組みを、1社で行うのは不可能だともしている。

ただ、メタサートはすべてを自力で行おうとしているわけではない。

同社はこれまでに100億以上のURLをレーティングしてきているが、その一部はクラウドソーシングを通してユーザーから集めたものだ。また、同社はブロックチェーンの利用も計画している。仮想通貨のビットコインを支えているのと同じようなアイデアで、その狙いは一般からの報告やレーティングを促進することにある。

職権乱用を防ぎ、信頼度を上げるブロックチェーン

メタサートのCEOであるウォルシュは、ブロックチェーンの導入がユーザーからの信頼につながると考えている。データベースが中央集権型のシステムでなくなり、会社のコントロールから離れるからだ。

これによって、メタサート社員が職権を乱用して個人的に気に入らないサイトの危険度を高めに評価するような事態を防止できる。さらに、情報提供者やサイト評価者の貢献度を測れるような評価システムを構築する予定だと同社は表明している。

メタサートは2011年、携帯電話向けのポルノブロッカーをリリースし、その基盤としてウェブサイトのカタログ化を開始した。

ウォルシュによると、アップルとサムスンは同社のソフトウェアを端末に組み込むことを検討したのだが、最終的に取りやめになったのだという。新しい計画の必要性に気づいた開発チームは、2014年からモバイルアプリに目を向け、Slackのようなメッセージアプリ向けのフィッシング対策ツールの開発に取り組むようになった。

ここでウォルシュは仮想通貨コミュニティーについて知ることになる。

きっかけは仮想通貨を狙ったフィッシング詐欺

2017年は仮想通貨の世界にフィッシングラッシュが訪れた──。そう語るのは、シンギュラーDTV(SingularDTV)のコミュニティーマネージャーを務めるマット・マクギヴァンだ。シンギュラーDTVはブロックチェーン技術を活用して、クラウドファンディングや著作権管理を支援するサーヴィスを提供している。

昨年蔓延したフィッシングの手口は次のようなものだった。まず、仮想通貨関連のSlackコミュニティーのメンバーにダイレクトメッセージが送られてくる。誘導されてリンクをクリックすると、デジタルウォレットのパスワードが盗み取られるのだ。

マクギヴァンはSlackの「App ディレクトリ」にMetaCertの名前を見つけたが、当時MetaCertはダイレクトメッセージを介して送信されたフィッシングリンクのブロックには対応していなかった。そこで彼はウォルシュに助けを求めてメールを送った。

メタサートはソフトウェアの機能を拡張してこれに対応した。シンギュラーDTVは、現在では全社的にSlackを使用してはいないものの、マクギヴァンは「当時のわたしたちにとっては完璧なソリューションでした」と語っている。

ウォルシュは仮想通貨に精通しているわけではなかった。しかし、必死に助けを求めてくるコミュニティーを見て、チャンスを感じ取った。しかも、自社のデータベースを構築・拡張するための新たな方法にも気づいたのだった。

メタサートのブロックチェーンプロトコルは、フィッシングサイトのカタログ化以外にも有用だ。

TrustedNews(トラスティッド・ニュース)というブラウザー向けプラグインがある。これはフェイクニュースを判別して指摘してくれるものだ。TrustedNewsはメタサートのプロトコルを使用して、信頼度を基にレーティングを行っている。メタサートは次なる試みとして、情報提供者やリンク評価者に対してメタサートの有料製品の購入に使えるトークンを与える報奨システムを構築しようとしている。


RELATED ARTICLES

TEXT BY KLINT FINLEY

TRANSLATION BY SHOTARO YAMAMOTO/DNA MEDIA