フィッシング攻撃を通報する：報告から停止まで

フィッシングサイトのホスティング業者やレジストラを見つけること（誰が実際に対処できるかとそのabuse@アドレスを見つける方法を参照）は道のりの半分に過ぎません。誰かが数分で処理できる通報を書き、送信後に何が起こるかを理解し、サイトが本当に消えるまで案件を追跡する必要があります。このガイドはこの3つをカバーします：正しく通報すること、何を期待すべきか知ること、停止まで粘り強く続けること。

実行可能な通報の構成

不正利用の通報は一人の人間によって処理され、しばしば同じ日に処理すべき数十件の中の一つです。最初から検証可能な要素が多く含まれているほど、山の上に早く上がります。ほぼ常に7つの情報が登場します：

• フィッシングページの正確なURL、単なるドメイン名だけではありません：同じアドレスが数十の異なるページをホストしている可能性があります。
• レジストラのための、関連するドメイン。
• ホスティング業者のための、サーバーのIPアドレス（abuse@アドレスまで見つける方法を参照）。
• ベクターがメールである場合の完全なヘッダー：真の痕跡は表示された送信者ではなく、ここにあります。
• 確認の日時、UTCまたはタイムゾーンを明記して、別の国から通報を受け取る人にとってあいまいさを避けます。
• ページのスクリーンショット：誰かが確認する前にページが消えてしまう場合に役立ちます。
• 攻撃の事実に基づく説明：何が模倣されているか、被害者に何が要求されているか（認証情報、クレジットカードなど）、推測や非難なしに。

最も一般的な落とし穴はあまりにあいまいな報告です：「このサイトはフィッシングです、対処してください」。正確なURLとタイムスタンプがなければ、メッセージを受け取った人はまず通報者がすでに目の前にしていた情報を探さなければならず、すべてが遅れるか、確認するには不正確すぎると判断されれば通報は放置されます。

これはまさにBaitbackが準備することです：メールやリンクから、ツールはこれら7つの要素を自動的に集め、正しい相手宛に送信準備が整ったメッセージを作成します。

abuse@通報を送信した後何が起こるか？

よく構成された通報が虚無に消えることはまれです。ほとんどのホスティング業者では、結果が常に同じというわけではありませんが、かなり似た経路をたどります。

ホスティング業者は通報だけを頼りにサーバーを停止することはほとんどありません：まず証拠を確認し、次に自社のどの顧客が関係しているかを特定します（ホスティング業者は第三者にマシンを貸しているだけで、サイトの作成者であることはほとんどありません）。削除または停止の要求は、まずこの顧客に対して行われ、回答期限が設けられます。顧客が回答しない、または協力しない場合、ホスティング業者は自社の利用規約に従って自ら停止することができます。

誤検知は存在します：誤って分類された正規のサイト、テストページ、脅威と誤認されたセキュリティツールなどです。だからこそ確認はいかなる行動の前にも行われ、確固たる証拠（図1）を伴う通報は単なる疑いよりも早く処理されるのです。

一部の通報は他よりも時間がかかります：実際には単なる再販業者にすぎないホスティング業者は要求を実際の運営者に転送しなければならず、金曜の夜に開かれたチケットは次の営業日を待ちます。遠隔のタイムゾーンにあるホスティング業者は相応の時差で回答します。これらのいずれも通報が失われたことを意味しません：数日後にURLを再訪し、発表された期限を過ぎてもチケットが未回答のままであれば丁寧に催促します。

通報から停止まで：長期にわたるインフラストラクチャの追跡

単独の通報は時に一つのステップにすぎません。フィッシングインフラストラクチャは移動することで最初の停止を生き延びることがあります：新しいIPアドレス、新しいドメイン、新しいホスティング業者。したがって作業は送信の時点で終わりません。

方法は各ステップで同じままです：ドメインを特定する、サーバーのIPアドレスを特定する、それを管理する運営者を特定する（レジストラ、ホスティング業者、CDNの間で誰が何を制御するかとIP → WHOIS/RDAP → ASN → abuse@のチェーンを参照）、そして各相手に関係する内容を通報する。

サイトがアクティブなままの場合はどうすればよいか？

数日変化がないからといって通報が失敗したわけではありません：新しいものを開くのではなく、参照番号を挙げて既存のチケットに催促を送ります。妥当な期間を超えて沈黙が続く場合、公式プラットフォーム（フランスの場合、例えばPHAROS）や国家のCERTが補完的な手段として残ります。

ドメインがIPアドレスを変える場合はどうすればよいか？

突然新しいIPを指すようになったドメインは、意図的に（通報を逃れるため）またはそうでなくとも、ホスティング業者を変えた可能性が高いです。識別チェーンはこの新しいIPについて完全にやり直す必要があります：新しいWHOIS、新しい運営者、新しいabuse@アドレス。一方、ドメイン自体はしばしばより安定したターゲットのままです：サーバーが移動していても、レジストラへの通報は依然として意味を持ちます。

新しいドメインが現れた場合はどうすればよいか？

アクティブなキャンペーンは、時には同じホスティング業者のもとで、しばしば同じページテンプレートを新しいドメイン名で再利用します。家族的な類似性（同じレイアウト、同じサーバー、同じURL構造）を見分けることで、新しい変種ごとにゼロから始めるのではなく、次の展開を予測することができます。

Baitbackはこれらの各ステップを引き受けます：完全で実行可能な通報を、正しい相手宛に準備するので、残るのはそれを送信することだけです。

さらに詳しく知るには：レジストラ、ホスティング業者、CDN：誰が実際に対処できるか、ホスティング業者のabuse@アドレスを見つける、またはメッセージからインフラストラクチャまでフィッシングを分析する。