[論文レビュー] Early Phishing

Koceilah Rekouche|arXiv (Cornell University)|Jun 23, 2011

Spam and Phishing Detection被引用数 5

ひとこと要約

この論文は、フィッシングのルーツを1990年代半ばにさかのぼり、アメリカン・オンライン（AOL）上でパスワードやクレジットカード情報の自動的盗用が可能な最初の公開済み自動化ツール「AOHell」の開発を、フィッシング現象の始まりとして特定している。この初期のシステムが、一般のハッカーからプロのサイバー犯罪者に至るまで、広範な自動化フィッシングツールの発展に影響を与えたことを記錣している。

ABSTRACT

The history of phishing traces back in important ways to the mid-1990s when hacking software facilitated the mass targeting of people in password stealing scams on America Online (AOL). The first of these software programs was mine, called AOHell, and it was where the word phishing was coined. The software provided an automated password and credit card-stealing mechanism starting in January 1995. Though the practice of tricking users in order to steal passwords or information possibly goes back to the earliest days of computer networking, AOHell's phishing system was the first automated tool made publicly available for this purpose. The program influenced the creation of many other automated phishing systems that were made over a number of years. These tools were available to amateurs who used them to engage in a countless number of phishing attacks. By the later part of the decade, the activity moved from AOL to other networks and eventually grew to involve professional criminals on the internet. What began as a scheme by rebellious teenagers to steal passwords evolved into one of the top computer security threats affecting people, corporations, and governments.

研究の動機と目的

• 1990年代半ばにフィッシングがサイバー犯罪の手法として歴史的に登場した経緯をたどること。
• AOHellを、ユーザー認証情報および金融データを自動で盗み取る最初の公開済み自動化ツールとして確立すること。
• AOHellを用いたアマチュアハッカーが、後に組織的・プロフェッショナルなフィッシング運用に発展するトレンドを始めたことを記錣すること。
• 初期の自動化フィッシングツールが現代のサイバー脅威に与えた長期的影響を分析すること。
• ティーンエイジャーのいたずらから、個人、企業、政府を標的とする大規模な攻撃に進化したプロセスを強調すること。

提案手法

• アメリカン・オンライン（AOL）上でパスワードとクレジットカードを収集する目的で設計された、カスタムソフトウェアツールAOHellの開発と展開。
• ソーシャル・エンジニアリング手法を用いて、大量のユーザー・アカウントを自動的に特定・狙撃するメカニズムの実装。
• この自動化された認証情報盗難プロセスに関連して、「フィッシング」という用語が初めて使われたこと。
• AOHellを広範なユーザー層に配布し、技術的素養のない人々がフィッシング攻撃を実行可能にしたこと。
• このツールが、さまざまなオンラインネットワーク上で後続の自動化フィッシングツールの開発に与えた影響を観察したこと。
• 1990年代後半にかけて、AOLからより広範なインターネットプラットフォームへのフィッシング活動の移行を追跡したこと。

実験結果

リサーチクエスチョン

• RQ1 最初に大規模なパスワードおよびクレジットカード盗難を目的として開発された自動化ツールは何か？ いつに作成されたか？
• RQ2 AOHellの開発が、「フィッシング」という用語の形式的定着と普及にどのように寄与したか？
• RQ3 AOHellは、技術的素養のないユーザーがサイバー犯罪に参加できるようにした具体的な仕組みは何か？
• RQ4 フィッシング攻撃の性質は、アマチュアの個人的行動から、組織的・プロフェッショナルなサイバー犯罪にどのように進化したか？
• RQ5 AOHellのような初期のツールが、現代のフィッシング脅威をどのように形作ってきたか？

主な発見

• 1995年1月に開発されたAOHellは、アメリカン・オンライン（AOL）上でパスワードおよびクレジットカード情報の盗み取りを目的とした最初の公開済み自動化ツールであった。
• 「フィッシング」という用語はAOHellと関連して初めて使われ、サイバーセキュリティの歴史においてこの概念が正式に登場したことを示している。
• このツールにより、アマチュアが大規模な認証情報盗みを容易に実行できるようになり、サイバー犯罪への参入障壁が著しく低下した。
• フィッシングは、反乱を起こすティーンエイジャーの行動から、個人、企業、政府を標的とする主要な脅威へと進化した。
• AOHellの成功と広範な普及は、インターネット全体にわたり、類似した自動化フィッシングシステムが多数開発されるきっかけとなった。
• 1990年代後半にAOLからより広範なインターネットネットワークへのフィッシング活動の移行は、フィッシングがグローバルなサイバー脅威に拡大した象徴的転換点であった。