近年、 「スミッシング」として知られる SMS 詐欺が驚くべき速度で増加しており、サイバー詐欺師のさまざまなネットワークの活動が継続することを可能にしています。この分野で最も活発な組織の 1 つは「スミッシング トライアド」として知られており、中国語を話す犯罪者で構成されており、毎日最大 100,000 件の詐欺テキスト メッセージを送信し、世界中の人々を操作して個人情報や財務情報を暴露させようとしています。
グラント・スミスというサイバーセキュリティ研究者が、妻がこれらのメッセージの被害者になった後、自らの手で問題を解決することを決意するまでは。その後、彼はこれらの詐欺師のシステムに侵入し、米国当局に暴露するという大胆な作戦を開始しました。
ハッカーの妻を騙す、ジョン・ウィックの犬を殺す、その他の悪い決断
すべては、米国郵便公社 (USPS) が荷物を配達するために詳細が必要であると述べた、一見無害な SMS から始まりました。このメッセージは、多くの同様のメッセージと同様 ( 当社の Correos も同様に偽装されることがよくあります)、被害者を Web サイトに誘導し、クレジット カード番号などの機密情報の入力を求めます。
スミス氏の妻 (ファントム セキュリティ社の創設者) が罠にはまり、それが研究者に行動を起こさせました。SQL インジェクションやローカル ファイル インクルージョン (LFI) などの高度なテクニックを使用して、詐欺師のデータベースとファイルにアクセスすることに成功しました。サイト。
彼が発見したのは、数千人の被害者の個人データと財務データを大規模に収集して保存するように設計された、よく組織されたシステムでした。
スミス氏の分析により、詐欺師の組織レベルだけでなく、彼らのキャンペーンが中国人学生によって開発され、月々 200 ドルのサブスクリプションで Telegram で販売されたスミッシング キットの使用に基づいていたことも明らかになりました。このキットを使用すると、詐欺師は USPS などの正規の会社を模倣した偽の Web サイトを簡単に作成できます。
スミス氏はキットのコードをさらに深く調査するにつれて、コードを覗き見から保護するために設計された複数の層の暗号化および難読化技術を発見しました。しかし、難読化解除ツールの助けと他の研究者の協力により、スミスはコードを解読し、システムがどのように動作するかについての重要な情報を入手することができました。
詐欺師（および詐欺師を騙す人々）の正体を暴く
最も衝撃的な事実の 1 つは、このキットには、作成者が製品を購入した詐欺師の管理パネルにアクセスできるバックドアが含まれていたということでした。これは、開発者がキットの販売で利益を得るほかに、顧客が盗んだデータにもアクセスできることを意味し、漏洩データの二重悪用が示唆された。
研究中に、スミスは驚くべき量のデータを収集しました。合計すると以下の内容が記録されました。
- 詐欺師が使用する 1,133 のドメイン上の438,669 個の一意のクレジット カード番号。
- 大学や政府、軍のドメインからの数百件の電子メールを含む、50,000 件を超える電子メール アドレスが収集されました。
Smith 氏は「Smishing Triad」が運営するすべての詐欺サイトを追跡できなかったため、これらの数字は詐欺の範囲の一部のみを反映しています。この詐欺の実際の被害者は、インド、パキスタン、アラブ首長国連邦などの国々でさらに数万人に及ぶと推定されています。
スミス氏はこれらすべてのデータを米国郵便検査局（USPIS）やFBIなどの米国当局に提供し、受け取った情報に基づいて捜査を開始した。 USPIS国家広報官マイケル・マーテル氏によると、USPISは進行中の捜査の一環としてスミス氏のデータを使用しているという。
しかし、スミス氏が使用した手法の多くは米国のコンピュータ詐欺および不正使用法に違反すると解釈される可能性があるため、今回の出来事は倫理研究と違法行為との紙一重も浮き彫りにしている。
経由 | スミスセキュリティ