こんにちは！
しなもんです。
ふとしたきっかけから、日本語のニセ通販サイトが大量に作られたことが判明しましたので、注意喚起を兼ねて調査結果を公開します。
こうした偽サイトに個人情報や金融情報などを入力しないようにご注意ください。
- はじめに
- 偽サイトの発見
- ニセサイト群の特定
- ドメインを分析
- 実際のサイトの様子
- 運営会社の身元
- 画像の出所
- ソースの分析
- 注文してみた
- 評価サイトでの扱い
- 攻撃を仕掛けているのは何者なのか
- ニセサイトは平然と存在している
- 調査に使用したサービス
- 付録 調査対象のドメイン一覧
はじめに
調査はしなもんが自力で実施しましたが、ニセ通販サイトの存在自体は I 氏から教えてもらいました。
調査上の重要なアイデアのいくつかも I 氏によるものです。
この場を借りてお礼を申し上げます。
以下、不用意なアクセスの防止のために、URL や IP アドレスを 「hxxp://example[.]com」「127.0.0[.]1」のように表記します*1。
偽サイトの発見
I 氏が教えてくれたニセサイトは次のようなものでした。
hxxp://lotteryuk[.]icu
一見綺麗な通販サイトです。
ところが、よく見ると不審な点がいくつかあります。
・サイト名らしきものがない*2
・「4年連続受賞」とあるが、何を受賞したのか記載がない
・「2020超歓迎」という不自然な日本語
・商品の写真と、自己主張の激しい「送料無料」のバナーの雰囲気が合っていない
・一見商品ページや特集ページに飛べそうな大きな写真にはリンクが設定されておらず、クリックしても何も起こらない
・「実店舗」として掲載されている写真が家具屋さんには見えない*3
そして……
・"lotteryuk[.]icu" という、およそ家具とは関係なさそうなドメイン名
これらの点から (後でご紹介するようにほかにも不審な点はあるのですが) 、私たちはこのサイトをニセ通販サイトと判断しました。
「類似のニセ通販サイトがほかにもあるのではないか？」
と考えた私は独自に追加の調査を行うことにしました。
ニセサイト群の特定
フィッシングサイトなどに顕著なのですが、複数の悪性サイト (のドメイン) が同一の IP アドレスに対応していることがよくあります。
これは urlscan.io で 103.210.238[.]90 に対応するサイトのスクリーンショットをまとめて見たものです。総務省 (特別定額給付金) や三井住友カードのログイン画面がたくさん並んでいます。
これらはフィッシングサイトです。
本件も IP アドレスから他のニセサイトを発見できるのではないかと推測しました。
ニセサイトの IP アドレスを特定するため、ここでは方法を 2つ紹介します。
1. コマンドプロンプトを使う方法
コマンドプロンプト*5を起動し、コマンド入力によって IP アドレスを求めます。
コマンドプロンプトの起動にはいくつか方法がありますが、ここでは「Win + R」を押して出てくる画面に "cmd" と入力します。
ここで "nslookup (調べたいドメイン)" と入力して 、
Enter キーを押します。
"Address:" で表示されているのがこのドメインに対応する IP アドレスです。
2. Web サービスを使う方法
無料で簡単に IP アドレスを調べることができる Web サービスはいくつもあります。
以上から、このサイト (ドメイン) の IP アドレスは 74.91.30[.]226 であることがわかりました。
次にこの IP アドレスに対応する別のドメイン名を調べます。
ここでは SecurityTrails*7 を使います。
なんと 1,316 個*8も出てきてしまいました……
以下、これらのドメイン (厳密には重複もあるのでドメイン単位では 700個台です) を対象に調査します。
それまで何の動きもなかったのに、10 月後半になってから 1日数十～数百のペースで新しいドメインが登録されていることがわかります。
これだけで断定するのは早計ですが、「何者かが大量にニセサイトを生成する目的で取得したのではないか？」と勘ぐってしまいます。
さて、SecurityTrails の検索結果を Excel にコピペして*10、いよいよ分析を開始します。
ドメインを分析
SecurityTrail で得られるのはサブドメインも含んだリストです。
本件の場合、ホスト名を表す "www." が入っていたりいなかったりします。
それ以外のサブドメインはないようです。
そこで "www." を消したうえで、重複を削除します。
731個まで減らすことができました。
これらを分析した結果、次のことがわかりました。
・トップレベルドメインは次の 7種類のいずれか。
.asia 19個
.club 76個
.fun 81個
.icu 223個
.online 70個
.site 76個
.xyz 186個
・セカンドレベルドメインは、airlinecontent、homemessage、webmasterfocus などのように、既存の単語を 2個以上そのまま合体したものが多い。ただし一部よくわからないものもあり。
・(後で示すサイトの様子と合わせて) セカンドレベルドメインを構成する単語は、通販で売っていることになっている商材とは特に関連がない。
例えばタイヤ通販サイトを模していても、tire や motor のような単語が入っているわけではない。ドメインとコンテンツの生成とは相互にあまり関係がないらしい。
・サイト運営会社として表示している会社名とも関係はない。
実際のサイトの様子
今度は実際のサイトの様子を見てみます。
その前に、本ニセサイト群の特徴について触れておきましょう。
実はこれらのニセサイト、代理アクセスしてくれる Web サービスがうまく機能しないことがあるという特徴があるのです。
具体的には、yahoo.co.jp のトップページに行ってしまうのです。
hxxp://www.powerwriting[.]club/ を各サービスで調べた結果がこちらです。
一方で、yahoo.co.jp に遷移せずにちゃんと表示してくれるサービスもあるのです。
何らかの条件で分岐して yahoo.co.jp に飛ばしているのは間違いないので、「耐解析機能かな？」と思っていたのですが、どうも違うようです。
おそらくこれらのニセサイトは日本人専用で、日本の IP アドレスからアクセスした場合はニセ通販サイトを表示し、それ以外の IP アドレスからアクセスされた場合は yahoo.co.jp に飛ばす仕様のようなのです。
aguse と secURL は日本の会社が提供するサービスなので、代理アクセスに使う IP アドレスも日本のアドレスなのでしょう。
実際、アドオンによって IP アドレスを外国のものにしてアクセスしたところ、yahoo に飛ばされることを確認できました。
さて、いよいよ実際にアクセス……といきたいところではあるのですが、言うまでもなく 700個以上のサイトをいちいち全部は見ていられないので、次の 30個に絞りました。
特に他意はなく、単なる上から順です。
① hxxp://powerwriting[.]club
② hxxp://cluben[.]icu
③ hxxp://banksthought[.]online
④ hxxp://greeceid[.]fun
⑤ hxxp://kidsplayer[.]icu
⑥ hxxp://islambook[.]club
⑦ hxxp://amytslast[.]xyz
⑧ hxxp://networkhuman[.]club
⑨ hxxp://hardwaretrue[.]online
⑩ hxxp://registerthree[.]club
⑪ hxxp://radiowindows[.]fun
⑫ hxxp://webmasterfocus[.]site
⑬ hxxp://buyspace[.]icu
⑭ hxxp://photoside[.]fun
⑮ hxxp://freeprotection[.]icu
⑯ hxxp://nylike[.]online
⑰ hxxp://topma[.]online
⑱ hxxp://orangelike[.]xyz
⑲ hxxp://flighthousing[.]icu
⑳ hxxp://theearth[.]icu
㉑ hxxp://medgovernment[.]xyz
㉒ hxxp://islamno[.]site
㉓ hxxp://financialdistrict[.]online
㉔ hxxp://hardwareselection[.]icu
㉕ hxxp://novolume[.]icu
㉖ hxxp://investbuild[.]icu
㉗ hxxp://healthinsurancelife[.]icu
㉘ hxxp://bondsstay[.]icu
㉙ hxxp://oilprinter[.]fun
㉚ hxxp://clubwarning[.]online
疲れました……
トップ画面の大雑把な傾向として、
・HTTP でしか接続できない。本来個人情報や金融情報を扱う通販サイトでは必須のはずの HTTPS が使えない。
・商材は、タイヤを中心に、家具、衣類、靴、日用品、自転車などがある (他にもあるかもしれませんが)。
・左右に「送料無料」という旨の目立つバナーが配置されている
・一部実在する通販サイトをかたっているものもあるが、少数である。
・写真やロゴは使い回しが多い。サイトのデザイン自体ほとんど一緒のものまである。
・10月なのに「NEW YEAR SALE!!」という不自然な表記をもつサイトがある。
・「弊店のサービスは最も良いのが顧客の一致する好評を得るのです！皆さんが買いにくることを歓迎します！」という怪しい日本語のコピーが散見される。
一見別の商品を扱うサイトのようでありながらこのような傾向がみられるということは、同じ人や組織が作ったか、少なくとも同じキットを用いて作られたものだと推測できます。
運営会社の身元
本当に運営している人たち (悪い人) ではなく、あくまで表示上の会社です。
ここではトップ画面のデザインがほとんど一緒のタイヤ屋 4個を選びました。
見ての通りデザインや書いてあることの大部分は使い回しなのですが、会社名・代表者名・住所・メールアドレスはバラバラでした (メールアドレスのみ 1組重複)。
会社名
「(代表者の名字) + (オンラインショップ など)」が定型のようです。
メールアドレス
サイトのドメインとは異なり、しかもトップレベルドメインが ".site" ばかりなのが不思議ですが理由は不明です。
ローカルパートは日本人の名前のようにも見えますが、代表者名との関係はなさそうです。
代表者名
検索してみましたがこれといった共通点は見つかりませんでした。
流出した名簿に載っていた一般人の名前か、あるいは姓名をシャッフルするなどの加工を行って使用しているのかもしれませんが、真偽は不明です。
住所
もっともらしい住所が書いてあり、実在もするのですが、どれも店舗や倉庫ではなさそうなところでした。
流出した住所録等を使っているか、web スクレイピングなどで自動で取得したか何かでしょう。
Google ストリートビュー で目視確認できます。
「店舗受取OK！」などと書いてあるからには、外から見てわかるような店舗がなければおかしいのですが……
それ以前に、タイヤを発送するオフィスをわざわざビルの 9階や 26階に設けようと思う人はあんまりいない気がします。
画像の出所
妙にクオリティの高い商品画像はどうやって入手しているのでしょうか。
まずは、多くのニセサイトで使われている「激安タイヤ販売＆ホイール」の画像。
Google 画像検索をしたところ、あっさり見つけることができました。
正規のサイトから画像を入手し、無断でニセサイトのコンテンツとして使っているようですね。
盗用しているのは画像だけで、サイトの全体的なデザインなどはここからパクったわけではないようです (そもそもこの正規サイトは通信販売のサイトではありません)。
他にもたくさん見つかりました。これらはニセサイトではなく正規のサイトです。
通販サイトもありますが、それ以外のサイトからの盗用も目立ちます。
見た目が良ければなんでもいいのでしょうね……。
またこれらのトップ画面にドカンと置いてある画像、配置されているサイトも中身も違うのに、なぜかファイル名が一緒でした。
なんとなくニセサイト大量作成の手口が見えてきた気がします。
さらなる分析のために Web ページのソースを確認します。
ソースの分析
Web ページは HTML というマークアップ言語で記述されており、ブラウザ上で読むことができます。
Firefox の場合、ページ上で右クリック→「ページのソースを表示」で閲覧できます。
見た目がまったく異なる hxxp://www.powerwriting[.]club (タイヤ) と hxxp://www.banksthought[.]online (家具) で比較してみましょう。
テキストデータの比較に使えるツールはオンライン・オフラインともいろいろありますが、ここでは操作が簡単な difff を使用します。
個別の項目や注意書きがあったりなかったりもするのですが、差異の大部分はドメイン名や商品の説明のような外から見える部分で、基本的な構造はほとんど一緒であることがわかります。
そこそこ見栄えのするニセサイトを短期間に量産できる秘訣はここにありそうです。
余談ですが、両サイトのソース中に綺麗な日本語のコメントが含まれているのが見つかりました。
日本人の作ったテンプレートファイルを使って作成されているのかもしれません。
注文してみた
以上の調査から、当該サイト群が実体のないニセの通販サイトであることは間違いないといって問題ないでしょう。
最後の仕上げに、実際に何かを注文してみることにしましょう。
※悪意を持って作成されたサイトに何かを入力するのは危険です。
絶対に本当の個人情報や金融情報・パスワードなどを入力しないでください。
意図があってウソを入力するとしても、入力するときは慎重に行うべきです。
hxxp://www.powerwriting[.]club (タイヤ) で目についたホイールでも買ってみましょうか。
一見綺麗なカート画面ですが、突っ込みどころはたくさんありますね。
・日本の場合、都道府県→市区町村→番地の順番が一般的で、番地→市区町村→都道府県→国名の順になることはほぼない
・というか日本語のサイトなのに日本以外の国を選べる時点で変。
特にこのサイトの商材は重くて嵩張るタイヤ・ホイール類で、海外に発送するのは不自然。
・郵便番号や電話番号に本来あり得ない桁数入力できる
・ショッピングガイドではクレジットカード、代金引換、コンビニ決済が利用できることになっているが、銀行振込しか選べない。「３．支払方法 銀行振込」は埋め込み画像で、選択で変わったりしない。
・都道府県一覧の順番が不自然。 三重県→京都府→佐賀県→兵庫県→…と続く。
・いくつかの国ではちゃんと自治体が選べる。というか選べてしまう。
IP アドレスをいじらないとアクセス自体できないのに
簡単な改造で他の国向けのニセサイトに作り変えられるようになっているのかな、と感じます。
気を取り直して注文確定します。ぽち。
ご注文成功したそうです。全体的に日本語がひどいですね。
ちなみによくあるフィッシングサイトと異なり、注文確定メールは本当に送られてきました。
あまり期待していなかったのでびっくりです。
もちろんメインのメールアドレスではなく、スパムメール受信専用のアドレスを入力しています。
これまた日本語がアッチャッチャ。
「詳細な請求書」とされるものを見に行っても、自分の注文した分の情報しか見られませんでした。
時間をおいてまた見に行こうとしたら、ログイン画面が出て弾かれてしまいました。
そもそも最初から登録もログインもしていないのでどうしようもないんですが……
一連の注文過程からわかることは、
・氏名や住所、電話番号などのような個人情報を盗む。
・メールアドレスとパスワードの組も盗めるが、登録を必須にしているわけではない。
盗めたとしても、特定のサービスに紐付いていないため*11、単なるパスワードリストということになる。
・銀行振込しか選べないということは、カード情報は狙っていない。
・口座番号のような代金受取方法を結局指定してこなかったので、よくある詐欺サイトのように、「お金だけ取って商品を送ってこない」手口ではないかもしれない。ただ、単に情報を盗むだけならわざわざメールを送る必要はなさそうなので、私が未登録で見られなかっただけかもしれない。
評価サイトでの扱い
日本以外からのアクセスを yahoo.co.jp に飛ばす仕様が効いているのか、見分けがつかないのか、単に見つかっていないのか、サイト評価系のサイトでの検知状況はあまりよくありません。
hxxp://powerwriting[.]club/ を各種評価サイトで評価した結果は次のようになりました。
(他のドメインでは違う結果になるかもしれませんが)
hxxp://powerwriting[.]club/ に良くない判定を返したのはノートンだけでした*12。
サイト評価サービスは便利ですが、過信するとこのように危険なサイトを安全と誤認する恐れがあります。
何か怪しいなと思ったら疑ってよく調べてみることが重要です。
攻撃を仕掛けているのは何者なのか
断片的な情報から安易に犯人像やその意図を求めるのは危険ですが、わかる範囲で推定してみます。
・日本人を標的にしている。
日本語のサイトで、でっち上げの会社所在地も日本国内。何より、国内以外からのアクセスを受け付けていない。
・しかし、決済周りの仕様から考えると、たまたま今回日本向けに作っただけで、海外向けの活動もしていると思われる。
・目的は情報もしくはお金の詐取。
今回の口座番号等の受取手段の指定が確認できなかったが、それをもってお金の詐取が目的でないと断定はできない。
カード情報も求めないので、もしかしたら名簿作りが目的かもしれないが真偽は不明。
・短期間で大量のドメインの取得、ニセサイトの生成を行っており、個人ではなく組織で行っている可能性が高い。
・全体的には日本の通販サイトとしてあまり不自然ではない見た目だが、細部の日本語がおかしい。おそらく日本語話者ではない。
・レジストラが Alibaba (中国) だが、関係あるかどうかは不明。
・被害者を誘導する手段は不明。
メールなのか、SEO ポイズニングによる検索からの誘導なのか……
ニセサイトは平然と存在している
今回は、10月後半に大量に出現したニセ通販サイトについて調査を行いました。
びっくりしたのは、一見本物らしき見た目のニセサイトが普通に存在していることです。
今回は細部を確認したり、挙動を確かめたり、ドメイン登録状況を調べたり、類似サイトと比較したりしてニセサイトであると確信できましたが、「買おうかな？」と思っているところにこうしたサイトが現れたら、心理的には疑うこと自体難しいかもしれません。
聞き慣れない通販サイトで買い物をする際には、以下のことを最低限確認するとよいでしょう。
・隅々まで見て、言葉の使い方におかしな点はないか？
・不自然に安価だったり、魅力的すぎる条件ではないか？
・HTTPS 接続できるか？
・ドメイン名は、その業態や屋号から見て自然なものか？
・運営会社に実態はあるか？ 実店舗があるとうたっているなら、その店舗は実在するか？
・必要のなさそうな情報を入力させたり、入力フォームの仕様におかしな点はないか？
・規約等でうたわれていることと実際の手続きに差異がないか？
例えば本件なら、使えることになっているカード決済やコンビニ決済は選択できなかった。
・"example.com" のように "" 付きで検索したとき、ニセサイトの注意喚起などが出てこないか？
知識のある方なら次のようなことも確認してはいかがでしょうか。
・ドメインが登録されたのはいつか？
ごく最近の場合は作られたばかりのニセサイトの可能性大。それにも関わらずさも長年の実績があるような文句があればさらに怪しい。
・同じ IP アドレスで、類似のサイトにつながるドメインが取得されていないか？
真っ当な用途で、似たようなサイトを別ドメインで量産することは考えにくい。
・実際にアクセスしたときに現れる画面と、urlscan.io、aguse などの代理アクセスサービスが取得した画面との間に不自然な違いはないか？
大事な情報を入力する前に、いったん落ち着いてよく考えましょう。
犯罪者から身を守れるのは、あなた自身だけなのですから。
調査に使用したサービス
McAfee Customer URL Ticketing System
Kaspersky Threat Intelligence Portal
付録 調査対象のドメイン一覧
・www. を除き、重複を削除したもの。
・ごく一部しか見ていないので、全部がニセ通販サイトとは断言できない。
・アクセスは自己責任でお願いします。
abcsunday[.]xyz
accountaccommodation[.]icu
accountan[.]xyz
adcommercial[.]fun
adhes[.]icu
adprofessional[.]xyz
adstep[.]online
adultdouble[.]icu
adultnumbers[.]icu
airlinecontent[.]asia
airlinesperiod[.]club
alabamacommission[.]icu
alabamaexpress[.]xyz
alabamamonth[.]xyz
allpresent[.]fun
amsterdamloss[.]xyz
amytsbrown[.]xyz
amytsinc[.]xyz
amytslast[.]xyz
amytsnfunction[.]site
amytsnnetwork[.]site
amytsnprint[.]xyz
amytsnroad[.]online
amytsparty[.]xyz
angelresult[.]club
angelstate[.]icu
angelworking[.]icu
apartmentsgovernment[.]club
apartmentsholiday[.]icu
apartmentslinux[.]online
apartmentssmall[.]icu
apartmentstake[.]club
apartmentstransfer[.]xyz
architecturecareer[.]club
architecturecentre[.]icu
architecturelight[.]fun
arizonafeature[.]xyz
arizonamaximum[.]fun
arizonatoday[.]icu
asiancommunity[.]site
asianenough[.]icu
asianlinux[.]fun
asianowner[.]xyz
asianwin[.]club
astrologycareer[.]xyz
astrologyfocus[.]online
astrologylocal[.]fun
astrologymax[.]club
aueljuctionguide[.]fun
aueljuctionit[.]club
australiathings[.]online
b2bbe[.]online
babybody[.]icu
babyword[.]xyz
bankingcarolina[.]fun
bankinglot[.]fun
bankingquote[.]xyz
bankscalendar[.]xyz
banksdistrict[.]icu
banksdvd[.]online
banksorder[.]online
banksthought[.]online
barcelonalatest[.]xyz
baseballactive[.]xyz
baseballam[.]xyz
baseballaug[.]site
basketballbaby[.]xyz
basketballhi[.]icu
basketballjuly[.]icu
basketballoption[.]asia
basketballsent[.]site
beautyhigh[.]online
beautysolution[.]xyz
beautystep[.]icu
beautyusing[.]fun
bibleaudio[.]fun
bibleopen[.]online
biblepractice[.]site
boatdatabase[.]xyz
boatpark[.]xyz
boatwoman[.]fun
bondsblue[.]club
bondsca[.]icu
bondsmail[.]xyz
bondsmar[.]icu
bondsstay[.]icu
bookclick[.]icu
bookdog[.]icu
bookstill[.]club
booktop[.]icu
bostonhe[.]xyz
bostoninterest[.]club
bostonmeet[.]icu
bostonprimary[.]online
bostontimes[.]fun
broadbandbest[.]club
broadbandside[.]xyz
businessjames[.]icu
businessplayer[.]xyz
buyaccess[.]online
buyclear[.]icu
buyregion[.]online
buyspace[.]icu
buywashington[.]site
buywin[.]xyz
cameragay[.]icu
camerarecent[.]online
camerawriting[.]site
campingways[.]xyz
canadaposition[.]icu
canadarating[.]icu
canadatoday[.]icu
capitalcommercial[.]online
capitaluniversity[.]club
cardsaug[.]xyz
cargetting[.]fun
carstart[.]fun
catsjohn[.]online
catssimple[.]fun
catswestern[.]xyz
cdcommercial[.]icu
clubcity[.]xyz
cluben[.]icu
clubglass[.]online
clubwarning[.]online
clubwhole[.]site
coffeemexico[.]site
coffeeresearch[.]fun
coffeetransfer[.]xyz
comlibrary[.]club
commercialcapital[.]fun
commercialoriginal[.]fun
compark[.]icu
compractice[.]xyz
computersgood[.]fun
computersmilitary[.]site
computerspage[.]site
computersstock[.]fun
computingdeath[.]xyz
computingfar[.]xyz
computingfield[.]icu
consultingschedule[.]club
cookingindia[.]online
cookingprint[.]site
cookingsong[.]icu
coolfri[.]xyz
coolsouth[.]xyz
coolwhile[.]icu
corporatecover[.]fun
corporateexample[.]club
corporatelimited[.]xyz
corporateout[.]site
corporaterating[.]xyz
corporatesummary[.]fun
cpausa[.]icu
creditcardsconditions[.]online
creditcardspress[.]site
creditcardstoday[.]club
cruisehealth[.]icu
cruiselimited[.]club
cruiselinks[.]site
cruiseround[.]fun
datingauthority[.]xyz
datingmon[.]xyz
diamondnothing[.]asia
diamondoct[.]xyz
diamondreport[.]xyz
diamondtech[.]xyz
dietgoing[.]online
digitalcolor[.]icu
digitalking[.]icu
digitalpersonal[.]club
discountal[.]xyz
discountbeach[.]icu
divorceenglish[.]icu
divorcesign[.]icu
divorcesunday[.]xyz
dnaamazon[.]xyz
dnabusiness[.]xyz
dnaengland[.]icu
dnahour[.]online
domainnameaddress[.]xyz
domainnamemarketing[.]asia
domainnamesdrive[.]icu
domainnamesmind[.]icu
domainsassessment[.]site
domainsclothing[.]fun
domainsweight[.]xyz
dotsurvey[.]online
dvdinterest[.]site
dvdplays[.]xyz
ebuyno[.]xyz
ebuysingle[.]icu
educationboy[.]fun
electronicsaward[.]icu
electronicsjournal[.]icu
emailexperience[.]club
emaillisting[.]xyz
emaillot[.]fun
emailmore[.]icu
emailstatistics[.]icu
emailwill[.]online
emoneygirl[.]online
emoneythink[.]icu
energyfile[.]icu
energysearch[.]icu
energysilver[.]site
exchangeprint[.]xyz
exchangeservices[.]fun
exchangetrue[.]site
exportla[.]site
exportnumbers[.]xyz
expresshour[.]site
expresspa[.]site
faxdistribution[.]icu
faxissue[.]fun
filmdistrict[.]online
filmhalf[.]icu
filmnovember[.]xyz
filmrental[.]icu
financialassociation[.]icu
financialdistrict[.]online
financialengland[.]club
financialfurniture[.]xyz
finlandok[.]xyz
firstdaily[.]fun
firstmind[.]icu
fishinglocation[.]site
fishingreason[.]site
fishingweb[.]icu
fishlot[.]icu
fitnessking[.]icu
fitnessnumber[.]icu
fitnessrunning[.]club
fitnessvideo[.]xyz
flightemail[.]fun
flightenglish[.]xyz
flighthousing[.]icu
flightmanufacturer[.]club
flightnow[.]icu
flightobject[.]xyz
floridabed[.]xyz
flowerback[.]xyz
flowerforward[.]site
flowerimpact[.]icu
flowersdvd[.]icu
flowersfirst[.]site
flowersfound[.]site
flowershere[.]site
flowersond[.]icu
flowersrequest[.]online
flowervideo[.]online
flyauthor[.]icu
flydrive[.]icu
flyred[.]xyz
flysunday[.]asia
flytax[.]xyz
foodbed[.]icu
foodcorporation[.]icu
foodnational[.]icu
foodperformance[.]fun
foodservices[.]icu
forsaleseller[.]xyz
francelondon[.]site
franceprivacy[.]club
freela[.]icu
freelibrary[.]icu
freenote[.]icu
freeprotection[.]icu
freestudent[.]icu
funauthority[.]xyz
funfinal[.]xyz
funsee[.]asia
furnitureanalysis[.]online
furnitureformat[.]icu
furniturejewelry[.]icu
furniturepc[.]online
furnituresign[.]xyz
gameerror[.]club
gameincrease[.]xyz
gamescall[.]icu
gamesimpact[.]xyz
gametraffic[.]online
gasnecessary[.]icu
gayinfo[.]icu
gayway[.]fun
georgiabest[.]xyz
georgiaconnection[.]online
georgiahours[.]xyz
georgiaphone[.]fun
georgiatotal[.]club
georgiauniversity[.]icu
giftinformation[.]xyz
giftjune[.]online
giftresource[.]site
giftsapril[.]xyz
giftsclick[.]club
giftsdescription[.]xyz
giftsknowledge[.]icu
giftstime[.]icu
girljournal[.]xyz
girlmind[.]site
girlsbasic[.]site
girlsmiddle[.]icu
girlspresent[.]icu
girlsregion[.]icu
girlssearch[.]online
girlsunday[.]xyz
girlsversion[.]icu
globalscience[.]fun
goare[.]xyz
goaudio[.]club
goclose[.]club
godavid[.]icu
gosstorelake[.]xyz
gostay[.]site
goterms[.]icu
greeceenglish[.]icu
greecehigh[.]fun
greeceid[.]fun
greeceknowledge[.]club
greecemedicine[.]xyz
greecesunday[.]club
greeceversion[.]club
hairemployment[.]fun
hairmarch[.]icu
hairmaximum[.]fun
hardwarean[.]xyz
hardwareselection[.]icu
hardwaretrue[.]online
hardwarewhite[.]xyz
healthcareno[.]xyz
healthcarepayment[.]icu
healthinsurancelife[.]icu
hkknowledge[.]icu
hklead[.]asia
hobbiesit[.]xyz
hockeyfinal[.]icu
hockeylarge[.]xyz
hockeynewsletter[.]xyz
hockeytime[.]club
holidaysold[.]icu
holidaysuse[.]icu
holidaysvideo[.]xyz
hollandcode[.]club
hollandcourt[.]xyz
hollandnotice[.]club
hollandpayment[.]icu
hollywoodadult[.]club
hollywoodsea[.]icu
hollywoodvolume[.]xyz
homeinterface[.]icu
homemessage[.]icu
homepagecart[.]fun
homepagejewelry[.]fun
homepageselection[.]site
homesaugust[.]icu
homesconsumer[.]xyz
homeshouse[.]icu
homessame[.]xyz
homethanks[.]xyz
hongkongmajor[.]fun
hongkongtechnology[.]online
hospitalbusiness[.]icu
hospitalpaper[.]icu
hotelamyts[.]icu
hoteldomain[.]club
hotelsrecent[.]site
housemajor[.]site
housenet[.]icu
houstonblood[.]icu
houstonexpress[.]online
houstonhouse[.]xyz
houstonplan[.]online
indiakind[.]asia
indiawelcome[.]xyz
indonesiafour[.]asia
indonesiagarden[.]icu
indonesiasocial[.]xyz
informationcourse[.]fun
informationmuch[.]xyz
inseason[.]icu
internationalearth[.]asia
internationalenough[.]xyz
internationalinn[.]site
internationalprice[.]icu
internationaltimes[.]online
internetdisease[.]asia
internetjanuary[.]site
investbuild[.]icu
investhealth[.]club
investingjewelry[.]xyz
investmentwant[.]online
iranchange[.]icu
irannorth[.]xyz
iranout[.]club
iranpresident[.]site
iranretail[.]icu
irantop[.]club
irelandart[.]fun
irelandcode[.]online
irelandwhole[.]icu
islambin[.]fun
islambook[.]club
islamhotel[.]fun
islammen[.]icu
islamno[.]site
islamnorth[.]club
islampopulation[.]online
islamunion[.]xyz
ispmobile[.]icu
ispstore[.]icu
ispwed[.]site
israelcase[.]xyz
israelstandard[.]club
israelstay[.]fun
istanbullisting[.]online
istanbulpossible[.]icu
istanbultechnical[.]xyz
italyclass[.]xyz
italygallery[.]xyz
jazzback[.]xyz
jazzfrench[.]icu
jazzsea[.]club
jazzwed[.]xyz
jpsalesafe[.]club
kidlife[.]xyz
kidslot[.]icu
kidsplayer[.]icu
koreaentry[.]club
koreareading[.]site
lacapital[.]online
landexperience[.]icu
landstarting[.]site
larate[.]site
lawyerdetails[.]xyz
lawyerhere[.]site
lawyerseptember[.]fun
lesbianlast[.]xyz
lesbiansubject[.]icu
lifeincome[.]site
lifeinsurancemother[.]fun
loanquick[.]icu
loanriver[.]xyz
loansrecent[.]xyz
londoncolor[.]icu
londonhome[.]site
losangelesaleypress[.]site
losangelespc[.]club
losangelessay[.]online
losangelesseason[.]xyz
lotteryuk[.]icu
madridmac[.]online
madridyork[.]xyz
mailcourse[.]xyz
mailmagazine[.]icu
malaysiaconditions[.]fun
malaysiaenough[.]xyz
malaysiaguide[.]xyz
malaysiaprofile[.]icu
managementbeauty[.]fun
mapssouth[.]fun
mapswhole[.]xyz
massachusettsshow[.]online
medengland[.]icu
medgovernment[.]xyz
medicalcarolina[.]xyz
medicaldown[.]xyz
medicalplus[.]xyz
medicalsee[.]xyz
medlittle[.]online
menlost[.]fun
moreare[.]icu
moreend[.]icu
moreprice[.]icu
moresection[.]icu
mortgagemiddle[.]fun
motorcyclebasis[.]club
motorcyclecontrol[.]xyz
motorcyclerate[.]fun
musiccamera[.]club
musicvolume[.]online
mutualfundsbeing[.]xyz
mutualfundsopen[.]site
netelectronics[.]site
netnature[.]fun
netstory[.]icu
networkdisease[.]online
networkhuman[.]club
networksclothing[.]xyz
networkswell[.]icu
newbrown[.]xyz
newpart[.]xyz
newsdc[.]club
newsevidence[.]icu
newsmenu[.]xyz
newspaperlower[.]xyz
newzealandemail[.]site
newzealandfeed[.]icu
newzealandforum[.]xyz
newzealandpoint[.]club
newzealandprivacy[.]xyz
newzealandwatch[.]icu
nopoint[.]club
noprice[.]icu
novolume[.]icu
nycnude[.]icu
nycrequest[.]icu
nycwater[.]xyz
nylike[.]online
nymethod[.]club
nynavigation[.]icu
nyvolume[.]fun
nzfirst[.]icu
nzwed[.]fun
oilcalendar[.]asia
oilchanges[.]icu
oilcut[.]xyz
oilprinter[.]fun
onlinemanagement[.]xyz
orangelike[.]xyz
orangeprivacy[.]icu
orangeteens[.]asia
parisair[.]online
partyas[.]icu
partybill[.]fun
partycondition[.]online
partymode[.]icu
patentmaster[.]xyz
patentsomeone[.]fun
pccentral[.]club
peopleprocess[.]site
peoplestatistics[.]xyz
personalinjurydiscount[.]fun
personalinjurydiscussion[.]xyz
petmodel[.]icu
petplayer[.]icu
petsun[.]xyz
pharmacydog[.]xyz
phonehome[.]icu
phonemonth[.]icu
phonethursday[.]site
phonetown[.]icu
photographybook[.]icu
photographypro[.]xyz
photographyput[.]club
photographythree[.]icu
photohotel[.]xyz
photoimage[.]icu
photosection[.]site
photoside[.]fun
photostudent[.]xyz
playsuper[.]icu
pohyakitchen[.]xyz
politicseffects[.]site
popbeauty[.]icu
popgive[.]site
popinn[.]xyz
poplength[.]xyz
popwednesday[.]icu
powerfilm[.]club
powerisland[.]xyz
powerwriting[.]club
prolet[.]icu
pronote[.]icu
proover[.]xyz
radiobrown[.]icu
radiotool[.]icu
radiowindows[.]fun
realestatecustomer[.]xyz
realestatehomepage[.]fun
realestatekitchen[.]club
realestateset[.]xyz
realestateuk[.]icu
registernice[.]club
registerthree[.]club
registerworld[.]icu
rentthing[.]club
resbasic[.]asia
resjan[.]online
restaurantaverage[.]icu
restaurantpersonal[.]site
retirementchristian[.]online
retirementfilm[.]icu
retirementmark[.]asia
salequick[.]site
salesdc[.]icu
saleybest[.]online
saleyything[.]club
seattleaudio[.]xyz
seattlegod[.]xyz
seattleprofile[.]icu
seoulagent[.]fun
seoulcard[.]fun
seoulfinance[.]fun
seoulmanagement[.]online
seoulnothing[.]xyz
shippingcommittee[.]xyz
shippingcourse[.]icu
shippingmay[.]club
shippingrate[.]icu
shippingwork[.]icu
shopmiddle[.]site
shopsingle[.]site
shoptechnology[.]icu
showbad[.]xyz
showjuly[.]fun
shownone[.]xyz
singaporeclose[.]icu
singaporephone[.]xyz
singaporewashington[.]icu
soccerbest[.]online
soccercollege[.]site
soccerkind[.]site
sportbox[.]icu
stockbrokerrecord[.]fun
stockmarketaction[.]xyz
stockmarketplay[.]site
stockmarketproduct[.]xyz
stocksinfo[.]club
stylearts[.]asia
styledisease[.]icu
styletell[.]site
suncommand[.]site
sundivision[.]icu
sunhair[.]icu
sunmon[.]xyz
suntaking[.]club
switzerlanddc[.]xyz
switzerlanddo[.]xyz
switzerlandpart[.]icu
switzerlandred[.]online
switzerlandtexas[.]xyz
techcell[.]fun
techde[.]site
techequipment[.]icu
technologyhave[.]site
techwish[.]fun
televisionadd[.]icu
televisionfull[.]icu
televisionperfect[.]xyz
televisionstore[.]icu
texasadult[.]club
texasloan[.]xyz
thailandequipment[.]online
theateraddition[.]xyz
theaterplan[.]icu
theatertext[.]icu
thecovers[.]icu
theearth[.]icu
theplay[.]icu
thesave[.]icu
thetool[.]icu
ticketgallery[.]icu
ticketitaly[.]xyz
timeat[.]icu
timenice[.]xyz
timerate[.]site
timesun[.]fun
toplinux[.]icu
toploan[.]icu
topma[.]online
toyapplication[.]club
toybrown[.]icu
toyen[.]site
toygoogle[.]xyz
toyid[.]xyz
toyinterface[.]online
toymust[.]site
trademarkcanada[.]icu
trademarkclassic[.]icu
trademarkoption[.]club
trafficnone[.]online
trafficpotential[.]xyz
trafficspeed[.]icu
trucksissue[.]icu
trucksmillion[.]icu
truckswater[.]fun
tvissue[.]club
tvrisk[.]club
tvsummary[.]xyz
ukips[.]icu
unitedstatescan[.]asia
unitedstatescouncil[.]icu
unitedstatescustomer[.]online
unitedstateswin[.]icu
unitedstatesworks[.]online
uorlisting[.]icu
uorpost[.]icu
vacationbox[.]online
vacationdesign[.]xyz
vacationsfive[.]xyz
vacationsmonth[.]fun
vacationwine[.]icu
vacationwriting[.]fun
ventureexchange[.]club
venturepress[.]xyz
videohope[.]xyz
vietnamcall[.]site
vietnamproblem[.]site
virginiacan[.]icu
virginiaorder[.]icu
virtualchange[.]xyz
virtualfriendly[.]xyz
virtualpublisher[.]asia
virtualpussy[.]asia
virtualthanks[.]icu
wapforward[.]site
wapincrease[.]icu
wapoffice[.]fun
wapsame[.]fun
wapturn[.]online
webaccesss[.]icu
webdesignprofile[.]site
webget[.]club
webmastercounty[.]fun
webmasterfocus[.]site
webmasterpersonal[.]icu
webmasterset[.]xyz
wirelessdelivery[.]fun
wirelesslot[.]icu
womanopen[.]xyz
womanpicture[.]xyz
workarchive[.]xyz
worldvalue[.]online
wwwan[.]fun
wwwapproach[.]club
wwwregular[.]icu
wwwtake[.]club
yesbuild[.]icu
yescolor[.]club
*1:defang といいます。
*2:後で紹介する偽サイトにはサイト名と思しきロゴを含むものもあります。あくまで当該サイトの特徴です。
*3:後述の手法で調査すると、これが以前銀座にあった Amazon Bar の写真であることがわかります。よく見ると元の写真にあった "Amazon Bar" のロゴを塗りつぶした跡があります。なぜわざわざまったく別業態の写真を使ったのかは不明です。
*4:盗聴に弱い HTTP を使う通販サイトや金融系サイトはあり得ないのでニセと断定して差し支えありませんが、逆に HTTPS ならば安全とはまったくいえない点には注意が必要です。近年の悪性サイトのかなりの割合が HTTPS を使用しているからです。
*5:Windows 環境前提で書きましたが、Mac や Linux でもそれぞれのターミナルなどで調査可能だと思います。
*6:それぞれのサービスがどのサイトにも有効なわけではないので、使えるサービスをいくつか覚えておくといいと思います。当該サイトの場合、urlscan.io などではうまくいきません。
*7:全部見るには登録 (無料) が必要です。
*8:2020/10/29 PM某時時点
*9:利用には登録 (無料) が必要です。
*10:もっと頭のいい方法がありそうな気もしますが
*11:例えば Amazon をかたるフィッシングならば、盗んだ情報は Amazon のアカウントとパスワードということになりますが、本件は既存サービスをかたったものではないため。
*12:2020/10/30 AM某時時点。これだけ見るとノートンがすごく優れているようですが、逆に他サイトで悪性判定できているサイトを見逃していることもあるので一概にはいえません。
