フィッシングキャンペーンのライフサイクル

これまでの各ガイドは、問題の一部分にズームインしてきました。ヘッダーの読み方、ホスティング業者の特定、適切な通報の書き方などです。このガイドは一歩下がって、キャンペーン全体を、その作成から終了まで、そしてしばしば別の場所で再び始まる様子まで示します。これは地図です。各ガイドが旅のどこに位置するかを示します。

フェーズ1 — インフラストラクチャの構築

被害者が何かを目にする前に、4つの要素が整えられる必要があります：

• ドメイン登録：任意のレジストラで名前が購入されます。ラテン文字を模倣する文字を使い、知られたブランドと見分けがつかないほど似せて選ばれることもあります（ピュニコードとホモグラフドメインを参照）。
• DNS設定：ドメインはわずか数分で将来のサーバーに向けられます。
• ホスティング：数ユーロでサーバーが貸与されるか、既に侵害された正規のサイトが乗っ取られます。真のアドレスを隠すためにCDNが前面に追加されることもあります（レジストラ、ホスティング業者、CDNの間で誰が何を制御するかを参照）。
• 偽サイトの公開：本物のログインページの多かれ少なかれ忠実なコピーがこのサーバーに設置されます。

フェーズ2 — 攻撃の開始

インフラストラクチャが整うと、キャンペーンが開始できます：

• メールの送信：メッセージが大量に配信されます。多くの場合、同じ貸与サーバーまたは乗っ取られたメールボックスから送信されます（詐欺師がどのようにメールを送信するかを参照）。
• データの収集：偽サイトに認証情報を入力した各被害者は、リアルタイムで直接詐欺師にそれを送信します。

フェーズ3 — 反撃

これは最も長いフェーズであり、各関係者がその後の展開に影響を与えられるフェーズです：

• 検出：被害者が詐欺に気づく、技術的フィルターが異常を検出する、または研究者がキャンペーンに偶然出会う（研究者とハッカーの間の猫とネズミのゲームを参照）。
• 通報：正しい要素（URL、IP、ヘッダー、タイムスタンプ）が収集され、正しい相手に送信されます（実行可能な通報の構成を参照）。事前にそのabuse@アドレスを見つけておく必要があります（ホスティング業者のabuse@アドレスを見つけるを参照）。
• 停止：レジストラが名前を止め、ホスティング業者がマシンを止めます。それぞれが自分の環にのみ作用し、両方が起こったときにキャンペーンは本当に停止します。
• インフラストラクチャの置き換え：キャンペーンが利益を生んでいる場合、必ずしもそこで終わりません。時には別のレジストラで新しいドメインが取得され、ステップ①からサイクルが再開されます。

この最後のステップこそが、通報が一度限りで機能することがまれである理由を説明しています。ドメインを停止させることは、この特定のキャンペーンを終わらせるだけで、必ずしもその背後にある組織を終わらせるわけではありません。だからこそ、最初の停止の後も注意を払い続ける価値があるのです。

Baitbackはまさにこの地図のステップ⑧で介入します：メールやリンクから、ツールは前のステップ（ドメイン、IP、ホスティング業者）を再構築し、停止を引き起こす通報を準備します。