リアルタイムフィッシングとは？進化する詐欺の実態と、検知・防御の最前線

インターネットの利便性が高まる一方で、サイバー攻撃も日々巧妙化しています。

その中でも「リアルタイムフィッシング」は、従来の単純な偽サイト詐欺をはるかに超える脅威です。この記事では、攻撃者が使う最新のツールや、その検知手段、そしてユーザーや企業が今すぐ取るべき対策について解説します。

証券会社での詐欺が頻発しているので、対策をしたい方は参考にしてください。

証券口座が狙われている。セキュリティ対策をすり抜ける「インフォスティーラー」の正体と対策

楽天証券やSBI証券など、大手証券会社で発生している不正アクセス被害。二段階認証を設定し、最新のセキュリティソフトを導入していても、なぜか資産が盗まれる。「もう自分には関係ない話ではない」。そんな危機感を持つ方も増えていることでしょう。乗っ...

リアルタイムフィッシングの仕組みとは？
- リバースプロキシ型攻撃の実態
リアルタイムフィッシングの検知は可能なのか？
個人ユーザーができる防衛策
企業・組織に求められる対策
検知より「構造的にだまされない」ことが重要

リアルタイムフィッシングの仕組みとは？

通常のフィッシング攻撃は、偽のログインページを作ってユーザーの認証情報を盗むだけでした。しかし、リアルタイムフィッシングはさらに一歩進んでいます。

リバースプロキシ型攻撃の実態

代表的なツールに「Evilginx2」などがあります。これは攻撃者が本物のログインページとユーザーの間に「中継サーバー」を立てることで、通信をリアルタイムに盗み見・操作するというものです。

ユーザーがログイン情報を入力すると、攻撃者がその内容を即時受け取り、正規サイトに転送します。
2段階認証コードさえもリアルタイムに中継され、突破されてしまいます。
結果として、ユーザーには正規サイトにログインできたように見えるため、気づくことが極めて困難です。

リアルタイムフィッシングの検知は可能なのか？

「だまされてから気づく」のがこの攻撃の厄介な点ですが、技術的に対策や検知がまったく不可能なわけではありません。

1. HSTS（HTTP Strict Transport Security）

正規サイトがHSTSに対応していれば、中間者がHTTPで接続を誘導しようとしても失敗します。

※この設定はWebサイト運営側が行う必要があります。

2. Origin/Referer チェック

フォーム送信時に「どこから来たリクエストか」を検証することで、プロキシ経由かどうかを検出可能です。

ただし、JavaScriptの知識が必要で、実装には開発コストがかかります。

3. FIDO2/WebAuthnの導入

これはもっとも確実な対策です。物理的なセキュリティキー（YubiKeyなど）やスマホの生体認証は、正規のドメインとだけ連携するため、偽サイトでは認証が通りません。

4. ブラウザのセーフブラウジング機能

ChromeやEdgeに標準搭載されている「悪質サイトの自動検出」機能も有効です。ただし、攻撃用ドメインが新しく登録されたばかりの場合は検出が間に合わないこともあります。

5. DNSフィルタリングとブロック

家庭用でも企業でも利用可能な手段として、「OpenDNS」「Cloudflare Gateway」などがあります。これらは既知のフィッシングドメインをDNSレベルでブロックします。

6. セッション異常検知

ログイン後の動作（IPが急に変わる、深夜帯の不審操作など）をAIで分析する方法もあります。これはサーバー側の行動検知ロジックとして実装されつつあります。

補足: Evilginxとは？攻撃者が「https://accounts.google.com」と同じ見た目と挙動を模倣しつつ、実際には別ドメイン（例: https://accounts.go0gle-login.net）で動作する中継サーバーです。SSL証明書もLet’s Encryptで正規に取得されるため、ブラウザ警告が出にくいのが特徴です。