マルウェアを利用した攻撃により、さまざまな大手小売業が情報漏えいの被害を受けました。した攻撃で窃取されたクレジットカード情報は、最終的には、アンダーグラウンドでよく知られたクレジットカード販売サイト「Rescator」で売られることになります。複数のサイバー犯罪者によって運営されているため、トレンドマイクロでは、この販売サイトの背後にいるサイバー犯罪者集団を「Lampeduza」と呼びます。弊社は、別のサイバー犯罪者集団が「Lampeduza」の知名度を利用し、サイバー犯罪者をだまして偽の販売サイトに誘導していることを確認しました。ホストするコマンド&コントロール(C&C)サーバを確認しました。このメールアドレスは、「Lampeduza」の偽サイトをホストする他のドメインを登録するためにも利用されていました。以下はこの偽サイトが利用するドメインの例です。2つの偽の運送サイト(shipping-panel.su、shipping-panel.us)が含まれています。上記で述べた販売サイトは、「Rescator」もしくは「Octavian」と呼ばれる悪名高いオンラインクレジットカード販売サイトの偽サイトです。Webサイトのメインページと非常によく似ています。偽サイトのログインページです。49米ドル(2014年10月20日時点、約5,200円)を仮想通貨「Bitcoin(ビットコイン)」で支払うように要求します。図2:アカウントを有効にするために支払いを要求する偽サイトこのポップアップ画面の日本語訳は以下のとおりです。新規メンバー:アカウントを有効にするビットコインでの支払いを受けます。支払いが完了すると、すべてのオプションが可能になります。ボットから保護するためです。ご協力ありがとうございます。セキュリティと匿名性のため、お客様にはビットコインのサービスを提供します。PM、WMZを交換することができます。15分以内に決済が完了します。残高は自動的に更新されます。ページを更新して下さい。実際の「Rescator」のログインページです。上記の販売サイトはすべて、「Rescator」が所有および運営するクレジットカード販売サイトの偽サイトであるとされています。「Rescator」はクレジットカード販売サイトを運営するだけでなく、カード情報に関するフォーラム「Lampeduza」の管理者としても知られています。サイトは以下のとおりです。「Rescator」は上記ドメイン以外の「Rescator」を名乗るクレジットカード販売サイトはすべて詐欺であると断言しています。図5:実際の「Rescator」で利用されているドメインを明記した投稿こうした偽サイトは、明らかに詐欺に関与していますが、しかし「Lampeduza」がこの背後にいる可能性も否定できません。「Rescator」がこれらの偽サイトに関与していることを暗示していますが、しかし、これ自体が虚偽の投稿である可能性があります。図6:クレジットカード販売サイト「24exchange」に対する苦情これらの偽サイトは実際の販売サイトの旧バージョンのようです。Webサイトのように見えます。弊社では、「Rescator」が利用者に偽サイトに関する警告を出し、偽サイトと無関係であることを主張した投稿を複数確認しています。■結論この偽のクレジットカード販売サイトの裏にいる人物が誰かはまだわかっていません。偽サイトに関係する人物は、「Lampeduza」の知名度を利用していることは明らかです。「Lampeduza」は、信頼性の高いクレジットカード情報を提供することでサイバー犯罪者には有名な販売サイトで、こうしたクレジットカード情報は、とりわけ米国の情報漏えいに直接的に関係しています。受け取っているようです。なっており、偽サイトが利用者に要求した金額と同額です。7月15日以降から利用されています。弊社は、このサイバー犯罪者集団を引き続き監視し、新たな展開があった場合は本ブログ上で報告します。「Lampeduza」およびこれらの偽サイトを調査している法執行機関に対し、弊社との接触を促しています。