タイトル: フィッシングキャンペーンにおける形式モデリング、マルチレイヤ検出およびインシデント対応：統合的な暗号フォレンジック・アプローチ

1. はじめに

フィッシングは、20年以上にわたり、サイバー空間において最も持続的かつ適応的な攻撃ベクトルの一つであり続けている。2000年代にオンラインサービス利用者を標的とした初期のキャンペーンから、個別化されたソーシャルエンジニアリング（spear phishing）、企業メール侵害（Business Email Compromise – BEC）、および正規サービスを基盤とする分散インフラを組み合わせた現代のオペレーションに至るまで、技術的・戦略的な継続的進化が観察される。Verizon (2023) および ENISA (2023) の定期報告は、ソーシャルエンジニアリングに基づく攻撃が引き続き初期侵害の主要因の一つであることを示しているが、その正確な定量化は方法論と範囲により異なる。

フィッシングが中心的である理由は、構造的に三つある。すなわち、(i) 電子メールおよび電子メッセージによる通信への体系的依存、(ii) 攻撃者に有利な経済的非対称性――限界費用の低さと高い潜在的リターン、(iii) CIALDINI (2006) によって示された説得技法により利用される人間の認知的限界、である。

並行して、送信元認証を強化するために SPF (RFC 7208)、DKIM (RFC 6376)、DMARC (RFC 7489) といった技術的メカニズムが開発された。しかし、これらのメカニズムはメッセージの意味的真正性を保証するものではなく、侵害された正規ドメインの悪用を防ぐものでもない。さらに、導入の不均一性と誤設定により、実運用上の有効性は低下する。

本研究は、フィッシングへの対処には以下を統合する包括的アプローチが必要であるという前提から出発する。

1. 形式的脅威モデリングにより、仮定と安全性特性を明確化すること；
2. 適用暗号により、真正性と完全性を強化すること；
3. ネットワーク、内容、行動、および外部インテリジェンスのシグナルを組み込んだ多層検知；
4. NIST SP 800-61r2 (CICHONSKI et al., 2012) のような指針に従った、構造化されたインシデント対応。

現代的な重要性は、以下の三つの傾向によってさらに増幅される。

• パブリッククラウド事業者における短命なインフラの利用；
• 普遍的な HTTPS の悪用による、検査の困難化；
• 説得的コンテンツ生成の大規模自動化。

本研究の貢献は、問題を形式化し、検証可能なアルゴリズムを提示し、具体的な運用手順を示す理論・実践的枠組みを提案することである。

---

2. 理論的基礎と関連研究

2.1 フィッシングの分類体系

本研究では、以下の分類体系を採用する。

• 大量フィッシング: 広範なキャンペーンで、個別化は低い。
• Spear phishing: 特定の文脈を伴う標的型メッセージ。
• Whaling: 経営幹部を狙うもの。
• BEC (Business Email Compromise): 金銭詐欺のための操作 (FBI IC3, 年次報告書)。
• Smishing/Vishing: SMS/音声の利用。

Jakobsson と Myers (2006) は、フィッシングと対策に関する先駆的分析を提示した。Dhamija, Tygar, および Hearst (2006) は、ユーザーが正規サイトと詐欺サイトを識別することに困難を抱えることを実証的に示した。

2.2 電子メール認証

SPF (KITTERMAN, 2014)、DKIM (CROCKER et al., 2011)、および DMARC (KUCHERAWY; ZWICKY, 2015) が主要な枠組みを構成する。研究は、誤設定が実運用上の有効性を低下させることを示している。

2.3 Machine Learning に基づく検知

教師ありアプローチは、語彙的および構造的特徴を利用する (MAO et al., 2017)。しかし、モデルは回避攻撃に脆弱であり、最新のラベル付きデータに依存する。

2.4 同定されたギャップ

• フィッシングを敵対的ゲームとして形式暗号学的に定式化する枠組みの欠如。
• 技術的検知と構造化された対応との統合の不足。
• DMARC ポリシーの形式的検証の欠如。

---

3. 脅威モデル

定義1（通信システム）

$S = (U, M, C, A)$ を以下のようにする。

• $U$ はユーザー集合、
• $M$ はメッセージ集合、
• $C$ は通信チャネル、
• $A$ は認証メカニズムである。

定義2（フィッシング攻撃者）

攻撃者 $\mathcal{A}$ は、以下へのアクセスを持つ確率的多項式時間機械（PPT）としてモデル化される。

• オラクル $\mathcal{O}_{send}$: メッセージ送信；
• オラクル $\mathcal{O}_{spoof}$: なりすまし試行；
• オラクル $\mathcal{O}_{social}$: 文脈操作。

能力を以下のように分類する。

• クラス I: 認証済みなりすましを伴わない大量送信；
• クラス II: 部分的な spoofing；
• クラス III: 正規アカウントの侵害；
• クラス IV: 認証済みインフラの侵害および永続化。

安全性ゲーム

$\mathsf{PhishGame}$ を以下のように定義する。

1. システムが認証を設定する。
2. $\mathcal{A}$ がオラクルと相互作用する。
3. $\mathcal{A}$ がメッセージ $m^$ を生成する。
4. $Pr[UserAccept(m^) = 1 \land m^ \notin Legit]$ のとき勝利とする。

優越性は次式で与えられる。

$$ Adv_{\mathcal{A}} = \left| Pr[\mathsf{PhishGame}=1] - \epsilon \right| $$

ここで $\epsilon$ はランダム受容を表す。

定理1

SPF、DKIM、および DMARC が適切に設定され、ポリシー $p=reject$ かつ DKIM 鍵が安全である（RSA ≥ 2048 ビット、または RFC 8463 に従う Ed25519）場合、秘密鍵の侵害なしに許可されていない spoofing が成功する確率は、デジタル署名の標準的安全性仮定の下で無視可能である。

証明スケッチ: 署名方式の EUF-CMA 安全性への帰着 (GOLDWASSER; MICALI; RIVEST, 1988)。

制約: 正規アカウントの侵害は対象外である。

---

4. 方法論

4.1 多層アーキテクチャ

層:

1. ドメイン認証
2. 語彙解析
3. 行動分析
4. 外部インテリジェンス
5. 時間的相関

4.2 相関アルゴリズム

Input: fluxo de mensagens M
Output: alertas A

for each m in M:
   score_auth ← verify_auth(m)
   score_lex ← lexical_model(m)
   score_beh ← behavioral_model(m.sender)
   score_rep ← reputation_lookup(m.domain)

   score_total ← w1score_auth + w2score_lex + 
                  w3score_beh + w4score_rep

   if score_total ≥ τ:
       generate_alert(m)

計算量: O(n·k)、ここで n = メッセージ数、k = 評価される特徴量数である。

4.3 正当性

各モジュールの偽陽性率を $fp_i$ とすると、重み付き結合は部分的独立の下で全体の確率を低減する。

---

5. 実装

5.1 SIEM との統合

SMTP ログおよびヘッダを取り込み、Splunk/Elastic と統合する。

5.2 Sigma ルールの例

title: Possible DMARC Failure with External Link
logsource:
  product: email
detection:
  selection:
    dmarc: fail
    links|contains: "http"
condition: selection
level: high

5.3 YARA ルール

rule Suspicious_PDF_Phishing
{
    strings:
        $s1 = "Enable Content"
        $s2 = "Click to verify"
    condition:
        any of ($s)
}

5.4 Suricata シグネチャ

alert http any any -> any any 
(msg:"Possible phishing landing";
flow:established,to_server;
content:"login";
http.uri;
sid:100001;)

---

6. 実験評価

以下を比較した。

• SPF/DKIM のみに基づくフィルタ
• 語彙的な教師ありモデル
• 提案する多層アプローチ

文献は、単独フィルタが侵害ドメインに対して限界を持つことを示している。語彙モデルは回避（Unicode の homoglyphs）に弱い。多層アプローチは、定性的により高い頑健性を示す傾向がある。

6.1 アブレーション研究

行動モジュールを除去すると、BEC への曝露が増大する。

6.2 有意性

McNemar のような検定は、二値分類器の比較に用いることができる。

---

7. ケーススタディ

7.1 金融セクター

手順:

1. DMARC fail アラートによる識別。
2. ヘッダのフォレンジック分析。
3. ファイアウォールによるドメイン遮断。
4. CERT.br への通知。

7.2 医療セクター

PDF 添付を伴う spear phishing の標的となった病院。

手順:

• エンドポイントの隔離。
• フォレンジック・イメージの取得。
• 認証情報の失効。
• LGPD に従った規制当局への報告。

---

8. 考察

制約:

• 正しい設定への依存。
• TLS は検査を困難にする。
• ソーシャルエンジニアリングは人的要因を悪用する。

現状技術との比較では、形式的統合と運用的統合の両方が差別化要因であることが示される。

---

9. 結論

フィッシングは、形式的かつ運用的な敵対問題として扱うべきであることを示した。今後の研究課題:

• TLA+ における DMARC ポリシーの形式検証。
• FIDO2/WebAuthn との統合。
• 動的グラフによるキャンペーンのモデリング。

---

参考文献

（ABNT 形式、リンク付き）

CIALDINI, R. Influence. Harper, 2006.

CICHONSKI, P. et al. NIST SP 800-61r2. 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

CROCKER, D. et al. RFC 6376: DKIM. 2011. https://datatracker.ietf.org/doc/html/rfc6376

DHAMIJA, R.; TYGAR, J.; HEARST, M. Why phishing works. CHI 2006. https://doi.org/10.1145/1124772.1124836

ENISA. Threat Landscape 2023. https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023

GOLDWASSER, S.; MICALI, S.; RIVEST, R. A Digital Signature Scheme Secure Against Adaptive Chosen-Message Attacks. SIAM J. Comput., 1988. https://doi.org/10.1137/0217017

JAKOBSSON, M.; MYERS, S. Phishing and Countermeasures. Wiley, 2006.

KITTERMAN, S. RFC 7208: SPF. 2014. https://datatracker.ietf.org/doc/html/rfc7208

KUCHERAWY, M.; ZWICKY, E. RFC 7489: DMARC. 2015. https://datatracker.ietf.org/doc/html/rfc7489

MAO, J. et al. Phishing detection. Computers & Security, 2017. https://doi.org/10.1016/j.cose.2017.05.006

VERIZON. Data Breach Investigations Report 2023. https://www.verizon.com/business/resources/reports/dbir/

（追加参考文献は紙幅の制約により省略したが、必要に応じて IEEE、ACM、USENIX、NIST、Springer から 30 件以上の文献を含む。）