[論文レビュー] Revisiting Email Spoofing Attacks

Hang Hu, Gang Wang|arXiv (Cornell University)|Jan 2, 2018

Spam and Phishing Detection参考文献 45被引用数 6

ひとこと要約

本研究は、913名の参加者を対象としたエンドツーエンドの測定とユーザースタディーを通じて、35の主要なメールプロバイダーにおけるメールスプーフィング防御を評価した。結果、多くのプロバイダーがスプーフィング検出プロトコルを備えながらも、特にモバイル環境においては偽装メールについてユーザーに警告していないことが判明した。また、視覚的セキュリティキューはリスク行動を低減するが、一貫性がなく、現実のフィッシング攻撃では効果が薄いことが明らかになった。

ABSTRACT

The email system is the central battleground against phishing and social engineering attacks, and yet email providers still face key challenges to authenticate incoming emails. As a result, attackers can apply spoofing techniques to impersonate a trusted entity to conduct highly deceptive phishing attacks. In this work, we study email spoofing to answer three key questions: (1) How do email providers detect and handle forged emails? (2) Under what conditions can forged emails penetrate the defense to reach user inbox? (3) Once the forged email gets in, how email providers warn users? Is the warning truly effective? We answer these questions through end-to-end measurements on 35 popular email providers (used by billions of users), and extensive user studies (N = 913) that consist of both simulated and real-world phishing experiments. We have four key findings. First, most popular email providers have the necessary protocols to detect spoofing, but still allow forged emails to get into user inbox (e.g., Yahoo Mail, iCloud, Gmail). Second, once a forged email gets in, most email providers have no warnings for users, particularly on mobile email apps. Some providers (e.g., Gmail Inbox) even have misleading UIs that make the forged email look authentic. Third, a few email providers (9/35) have implemented visual security cues for unverified emails, which demonstrate a positive impact to reduce risky user actions. Comparing simulated experiments with realistic phishing tests, we observe that the impact of security cue is less significant when users are caught off guard in the real-world setting.

研究の動機と目的

• 送信者認証が正しく実装されていない場合（SPF/DKIM/DMARCが不適切に設定されている場合）に、メールプロバイダーが偽装メールをどのように検出・処理しているかを調査すること。
• 偽装メールがフィルタを回避してユーザーの受信トレイに到着する条件を特定すること。
• フィッシング攻撃中にリスクを低減するための視覚的セキュリティキューの有効性を評価すること。
• 制御されたラボベースのユーザースタディーと現実世界のフィッシング実験を比較し、行動の違いを評価すること。

提案手法

• 偽装送信者ドメインを用いて、35の主要なパブリックメールプロバイダーに対してエンドツーエンドのスプーフィング実験を実施し、受信トレイへの到着と警告メカニズムの有無をテストした。
• 2017年1月および10月に、Alexaの上位100万ドメインにおけるSPF（45.0％）およびDMARC（4.6％）の導入率を測定した。
• シミュレートされたフィッシングシナリオを用いた制御されたユーザースタディー（N=913）を実施し、セキュリティキューに対するユーザーの反応を評価した。
• ラボ実験の結果を検証するため、現実世界のフィッシングテストを実施し、現実のプレッシャー下でのユーザー行動を分析した。
• プロフィール写真や送信者名カードなどのUIデザインパターンを分析し、既存の連絡先をスプーフィングする際に偽装の信ぴょう性を高める要因となっているかを検討した。
• ロールプレイ実験とライブフィッシングテストを組み合わせたハイブリッド手法を用い、人工的状況と現実状況におけるユーザー行動の差を比較した。

実験結果

リサーチクエスチョン

• RQ1 主要なメールプロバイダーは、送信者認証が失敗した場合に、偽装メールをどのように検出・処理しているか？
• RQ2 SPF/DKIM/DMARCのチェックに失敗しても、どのような条件下で偽装メールがユーザーの受信トレイに到着するのか？
• RQ3 フィッシング攻撃中にリスク行動を低減するための視覚的セキュリティキューの有効性はどの程度か？
• RQ4 シミュレート（ロールプレイ）と現実世界のフィッシング実験の間で、ユーザー行動にどのような違いが生じるか？
• RQ5 UIデザインの選択（例：プロフィール写真、送信者名）が、スプーフィング攻撃を意図せず支援する程度はどの程度か？

主な発見

• Gmail、Yahooメール、iCloudを含む35社中33社のメールプロバイダーが、認証が失敗しても特定の条件下で偽装メールを受信トレイに届けることを確認した。
• 35社中9社しか未検証送信者に対して視覚的セキュリティキューを実装しておらず、そのうち4社しかモバイルアプリで一貫したキューを提供していない。
• 多くのプロバイダーが、既存の連絡先をスプーフィングする際、内部データベースから送信者のプロフィール写真や名前を表示しており、信ぴょう性を高めるために悪用されている。
• 制御されたシミュレーション実験ではセキュリティキューがリスク行動を低減するが、現実のフィッシング状況ではその効果が著しく低下している。
• Gmailのような一部のプロバイダーは、ウェブでは赤い疑問符が表示されるが、モバイルでは表示されない誤解を招くUIを採用しており、モバイルプラットフォームでのユーザー保護が損なわれている。
• 本研究は、現在のユーザー層の保護策が不十分であることを確認した。多くのユーザーは、特にモバイルデバイスではスプーフィングメールに気づいていない。