AppleやPayPalを装うDKIMリプレイ攻撃を確認
Apple・PayPalを装ったメール詐欺事例
最近、Apple や PayPal のブランドを装った詐欺メールが確認されている。攻撃者は、正規のメール認証方式であるDKIM（DomainKeys Identified Mail）を悪用するリプレイ手法を用い、受信者の信頼を得る構造を採用している。
当該手法では、正規ドメインで署名されたメールの一部を再利用し、偽の請求書や通知を含む内容に転用することで、正当な通信であるかのように見せかける。これにより、メール認証を前提とした一部の検知機構を回避する可能性があると指摘されている。
被害の流れとしては、受信者に対して特定の操作や連絡を促し、偽のサポート窓口へ電話させるなどして、最終的に認証情報や支払い情報の取得を試みる手口が確認されている。
DKIMリプレイ攻撃の仕組みと認証回避
DKIMリプレイ攻撃は、既存のメール認証の仕組みを悪用し、正規メールに見せかけた詐欺を成立させる手法とされる。攻撃者は、合法的な送信プロセスを経て生成されたメールを再利用し、ユーザー入力欄などに詐欺的な内容を挿入することで、元の認証署名を維持したまま配信する。
この構造により、改変されていないDKIM署名が有効な状態で保持されるため、DKIMおよびDMARC認証を通過するケースが確認されている。その結果、受信側のセキュリティ機構や利用者の判断において正規通信と誤認される可能性がある。
INKY の研究者は、本手法が Apple や PayPal に加え、DocuSign など複数のサービスを装った事例で確認されていると報告している。
対応策と注意喚起
今回の事例は、メール認証技術のみでは完全な防御が困難であることを改めて示している。セキュリティ担当者は、送信ドメインの信頼性だけに依存せず、メール本文の内容や不自然な誘導文、連絡先情報などを含めた総合的な確認を行う必要がある。
利用者側においても、請求書やアカウント通知を装ったメールを受信した場合は、メール内のリンクや記載された電話番号を直接利用せず、公式ウェブサイトを通じて情報の真偽を確認することが推奨される。
また、継続的なセキュリティ教育を通じて、従業員が不審なメールの特徴を把握し、適切に報告・対処できる体制を整備することが重要である。特に予期しない請求通知や緊急性を強調する内容については、慎重な対応が求められる。
