フィッシングは事前に予測できるか？

概要

フィッシングによる実社会への脅威は深刻化しており、フィッシングサイトを早期に発見・対策するための手法が求められています。

本稿では、NICTのライブネット（職員が業務で利用する機構内ネットワーク）を対象に、同環境に到達したフィッシングURLについて、その背後に存在するインフラストラクチャを分析することで、「フィッシングの予測可能性」について調査しました。

調査の結果、Reverse IP Lookupを活用することで、機構に到達したフィッシングURLのドメインの約38.2%について、観測される前に予測可能であることが確認されました。また、予測から実際の観測までの平均リードタイム日数は約5.46日であり、継続的に監視することで、2週間以上のリードタイムを確保できたドメインも存在しました。

フィッシングの動向

フィッシング対策協議会が公表した「フィッシングレポート2026」によると、フィッシングの届出件数は増加傾向にあり、フィッシングサイトのURL件数についても高止まりが続いています。¹フィッシングによって窃取された認証情報は、不正送金や不正アクセスをはじめとする重大なインシデントにつながるため、依然として深刻な脅威となっています。

一方で、現状のフィッシング対策は、サイトが検知された後に対応する「事後的」な措置にとどまりがちであることが指摘されています。さらに、フィッシングサイトの分析を行う段階においても、クローキングをはじめとする解析回避手法の高度化により、サイトの検出やコンテンツ自体の分析が困難になっています。このように、フィッシングの被害規模が拡大する一方で、その早期検出や詳細な分析を阻害する要因も増加しています。²

フィッシングのインフラストラクチャ調査

NICTのライブネットで観測されたフィッシングURLの背後に存在するインフラストラクチャについて調査してみました。

調査対象

調査対象は、2026年1月から8月までにNICTのフィッシング観測基盤へ到達したメールに含まれるURLのうち一部、計2,092件です。

インフラストラクチャの調査に使用したデータ

調査結果

以下に、収集したフィッシングインフラストラクチャのデータから得られた分析結果を示します。これらのデータ分析に基づき、ユーザーの元へフィッシングURLが届く前に先回りして予測・特定する方法を検討します。

ドメイン作成から観測までのタイムライン

収集したデータを用いて、フィッシングURLを観測するまでの各種フェーズ（ドメイン登録、TLS/SSL証明書の発行、観測日）におけるタイムラインの定量的な調査・分析を行いました。

図1にフィッシングドメインにおける証明書発行日から実際の攻撃観測日までの経過日数を示します。全体の約63%において、攻撃観測日の1週間以内に証明書が発行されていました。これは、CT（Certificate Transparency）ログの記録がフィッシングインフラ構築の有効な前兆（シグナル）となり得ること、またそのシグナル出現から概ね1週間以内に攻撃へ悪用されることを示しています。

図2および図3は、ドメイン作成日から「証明書発行日」および「攻撃観測日」までの経過日数を示しています。両者ともに作成後180日〜365日経過したドメインが全体の5割〜7割を占めており、同じ傾向が確認できます。

作成から180日以上経過したドメインの利用実態には、大きく分けて2つのパターンがあるように思えます。1つは作成当初から何らかの目的で継続的または反復的に運用され、最終的にフィッシングに転用されるケースです。もう1つは、作成当初は利用形跡が見られなかったものの、突如としてフィッシングに悪用されるケースです。

2つ目のケースにおいてドメイン登録から攻撃までのタイムラグが生じる要因として、新規登録ドメインを対象としたセキュリティ製品のブロック（NRD判定等）を潜り抜けるための「ドメインのエイジング（熟成）」が考えられますが、確証は得られていません。

ドメイン作成日の集計結果を図4に示します。2026年1月から8月までの期間に観測されたフィッシングドメインの作成時期を分析したところ、2025年第2四半期（Q2）および第4四半期（Q4）に顕著な集中が見られ、全体の約52%がこの期間に取得されていました。さらに、各ドメインの作成日時を詳細に確認すると、同一年月日かつ同一時間帯に集中的に登録された個体が多数確認できました。この傾向から、攻撃者はフィッシングインフラの準備段階において、スクリプトやAPI等を用いた複数ドメインの一括・自動生成手法を導入していると推測できます。

IPアドレスの継続利用

一般にフィッシング用のドメインは、通報やブロックを回避するため短期間で捨てられます。一方で、攻撃者は裏側のIPアドレス（サーバー）を頻繁に変更せず、同一のIPを継続利用しながらドメインのみを短期間で切り替えて展開することがあります。本調査では、全体の約2割でこの手法（IPの再利用とドメインの切り替え）が確認されました。

図5に、7月前半に観測されたフィッシングURLとインフラの関係性を示すネットワークグラフを示します。単一のIPアドレスノード（青）に対して、複数のURLノード（黄）が結合している構造から、同一サーバー上で複数のフィッシングサイトが展開されていることが分かります。

さらに、1 IPアドレスあたりに紐づく平均URL数（urls_per_ip）についても調査しました。なお、直接コンテンツをホストしていないCDN事業者のIPアドレスについては、集計対象から除外しています。

1月から8月にかけて、1 IPアドレスあたりに紐づく平均URL数（avg_url_per_ip）は4.87を記録しました。よって、攻撃者が単一のIPインフラを保持したままドメインを流動的に変更・運用している傾向がみられます。

攻撃者によるIPアドレスの保有期間について調査を実施しました。なお、本分析結果はあくまで当観測環境で確認された期間（実績値）であり、攻撃者による実際のインフラ運用期間の全体を担保するものではありません。

図7に調査した結果を示します。集計単位を半月（1期）として分析した結果、利用されたIPアドレスの約20%が2期以上（実質1ヶ月以上）にわたり継続して保持されています。

Reverse IP Lookupを用いたフィッシングの事前予測

前段の調査で確認されたとおり、フィッシングURL全体の約2割において、同一のIPアドレスを維持したまま紐付けるドメインのみを切り替える手法が多用されています。
この「同一IPでドメインのみを変更する」というインフラの再利用特性に着目し、Reverse IP Lookup（逆引き）を活用することで、攻撃基盤の事前予測や早期検知が可能になるのではないかと考えました。
そこで、同様のフィッシングURLデータを用いて、このアプローチの有効性を検証・調査しました。

調査手順

フィッシングに利用されたIPアドレスを対象に、DNS側の記録と実際の攻撃観測を時系列で突き合わせて、事前予測できたかを判定する流れを示します。

• 対象IPアドレスの特定
  • フィッシングに利用されたと確認できたURLから、使用されていたIPアドレスを特定する。
  • CDN等のIPアドレス上にはコンテンツ自体がホストされていないため、これらを監視対象からは除外する。
• DNSDBへの照会
  • Passive DNSにそのIPアドレスを問い合わせ、過去にこのIPを指していたドメインとそのFirst Seen（最初に観測された時刻）を取得する。
• タイムライン構築
  • 実際の攻撃観測日（機構での観測日）と、DNSDB上のFirst Seenを同じ時系列上に並べる。
• トリガーの設定
  • そのIPアドレス上で最初に攻撃が観測された時点を「トリガー」とし、ここから常時監視へ切り替えたと仮定する。
• 検出率の算出
  • フィッシングドメイン全体のうち先回りして検出できたドメインの割合を検出率として算出する。

判定方法

先回り検出の可否は、Passive DNSでのFirst Seenが攻撃観測日時より前であるかどうかによって判定します。具体的な判定ロジックの概要を図8に示します。

調査結果

監視対象IPアドレスの特定により、監視対象となったドメインは機構で観測された全フィッシングドメインの約46%（647件）でした。 そして監視対象へ追加されたドメインのうち、約82%（533件）を事前に検出することができました。

Passive DNSの監視により抽出されるドメインが、必ずしもフィッシング攻撃に悪用されるとは限りません。しかし、単一の攻撃URL検知をトリガーとして、今後到達する可能性があるフィッシングドメインの候補群を事前に把握することが可能となります。

図10に、本手法により先回り検出できた533件における、Passive DNSでの初観測から実際の攻撃観測までのリードタイム（事前検知から実際の攻撃観測までの猶予期間）の内訳を示します。リードタイムの内訳としては、1日未満が約25%で最も多く、1週間未満が約67%、1週間以上が約33%となりました。また、平均リードタイム日数は5.46日となりました。なお、Passive DNSデータベースには実際にDNSクエリが観測されてからAPI経由で参照可能になるまでのタイムラグが存在するため、実運用環境における実際のリードタイムは、本評価結果より短くなる可能性がある点に留意が必要です。

リードタイムが長いほど、フィッシングメールが組織に到達する前に事前対策を講じる時間的余裕が生まれます。具体的には、ブロックリストへの即時登録やセキュリティフィルターのシグネチャ更新、あるいは注意喚起の事前展開など、受動的な対応にとどまらない能動的な防御体制の構築を可能にすると考えられます。

まとめ

本稿では、組織のフィッシング観測基盤に到達したURLを対象に、背後にあるインフラストラクチャの分析と、それに基づくフィッシングの予測可能性について調査しました。

分析の結果、フィッシングに使われるIPアドレスの2割が継続利用（実質1ヶ月利用）されているがことが判明しました。本調査ではこの点を予測のキー要素として抽出しました。

Reverse IP Lookupを活用した事前予測の検証では、観測基盤へ到達したフィッシングドメインの約38%を観測前に予測できることが確認されました。予測から実際に観測されるまでの平均リードタイム日数は約5.46日であり、継続的な監視によって2週間以上のリードタイムを確保できた事例も存在します。

本手法を実運用環境へ適用した際の今回の結果との乖離や、事前予測された場合の情報をセキュリティオペレーションへどのように組み込んでいけるかといった運用上の課題も残されています。これらについては、今後さらに検討を深めていきたいと考えています。