IT部門を怒らせたいですか？ このリンク、十分に悪意がありそうに見えませんか？

• このツールは、どんなURLでも悪意がありそうに見えるよう変換する機能を提供する
• TinyURLとは異なり、短縮する代わりに、より疑わしい見た目にしてくれる
• 入力したリンクは実際にはWebリダイレクト方式で元のアドレスへ移動する
• 生成されたフィッシーなリンクは見た目だけが不穏であり、別の悪意ある挙動は行わない
• ユーザーは入力欄にリンクを入れてボタンを押すと、「危険そうに見える」リンクを取得できる

---

紹介と主な機能

このツールは、ユーザーが任意のWebサイトのアドレスを入力すると、そのアドレスをあたかもフィッシングリンクのように疑わしく見える形へ変換してくれるサイトである

• 仕組みは代表的なリンク変換サービスであるTinyURLに似ているが、結果としてユーザーが得るリンクは短くなる代わりに危険そうに見える形になる
• 原理は単純なリダイレクトであり、生成されたリンクをクリックしても入力した元のアドレスにのみ移動する
• 提供された入力欄にリンクを入れてボタンを押すと、不安をあおる見た目のフィッシング風リンクをすぐに取得できる
• 生成されたリンクは実際のマルウェアを含まず、あくまで視覚的に疑わしく見えるだけである

使用例と注意事項

• このツールはリンク自体は安全だが、実際に会社や団体の中で使うとIT部門に混乱を引き起こす可能性がある
• フィッシング対策訓練やソーシャルエンジニアリングのテストなどで、リンクの見た目がどれほど信頼に影響するかを検証したいときに使える
• 会社のセキュリティ規定やポリシーによっては、実際に使う前に適切に許可されているか確認が必要である

[GN⁺]

Hacker Newsのコメント

• はは！ 私も同じことを考えていた。うちの会社にも、本物のリンクですらまるで悪意あるリンクのように見せてしまう仕組みがある。たしか Microsoft Safelink と呼ばれていたと思う。その目的は Outlook の受信箱にあるすべてのリンクを隠して、クリックするまで何なのかわからなくすることだ。結局のところ、「Microsoft を導入したせいで解雇されることはない」という冗談になる

  • 数か月前、Microsoft のサーバーが落ちたか、ものすごく遅くなったことがあって、そのときはメール内のすべてのリンクが機能しなかった
  • これは本当に共感できる。ProofPoint も同じようにリンクをフィルタリングする

• これは悪くない
  https://carnalflicks.online/var/lib/systemd/coredump/logging...

  • 正直、期待していたものがあった[1]。たぶん HN ではこういうのはあまり見かけないのだろう
    1: https://pc-helper.xyz/scanner-snatcher/session-snatcher/cred...
  • なぜかわからないが、ページの一番上にいるときにこういうリンクをクリックするのは妙に満足感がある
  • なんだか怪しい感じがする。NoScript が XSS 警告を出してくれた <_<

• こういうのは無限ループを回すときに向いている
  https://gonephishing.me/shell-jacker/shell-jacker/worm_launc...

• この一連の会話で、昔いた会社での滑稽な状況を思い出した。会社では、送信者が公式サイトのリンクか確認するためにリンクへマウスオーバーするよう、従業員に強く求めていた。ところが人々はそれでもフィッシングリンクに引っかかり続けたので、Trend Micro の機器を導入してメールをスキャンし、すべてのリンクを一括で同社の URL スキャンサービス向けに書き換えるようになった。その結果、すべてのリンクが https://ca-1234.check.trendmicro.com/?url=...; のように見えるようになった。今度は会社でメール内のどのリンクもクリックできなくなった。もちろん URL 書き換えのせいでかなりの数のリンクが動かなくなり、朝に障害アラートを受け取ると、ノートPCを開いて Pagerduty や Sentry などに手動でログインし、メールからインシデントの詳細を探し直さなければならなかった

  • 私には逆方向の面白い体験があった。以前 Global MegaCorp で働いていたとき、会社ではときどきフィッシングメール訓練のためにわざとフィッシングメールを送っていて、もしリンクをクリックすると記録され、2〜3回引っかかると再教育を受けることになっていた。おかげで皆、メールのリンクはクリックしないことを学んだ。効果はあった。ところが年次アンケートを実施しようとして全従業員にメールを送ったところ、誰もリンクをクリックしなかったため、「今回のアンケートメールは本物なのでクリックしてよい」という案内メールを追加で送らなければならなかった
  • 最近では、私個人の AWS アカウント宛てに、今後は請求書が [e-mail] から送られる予定なので、自動請求書処理ルールをそのアドレス向けに変更してほしいという案内メールが来た。これは本当にばかげていた。もしそんな送信元アドレスのメールを見たら、私でも即座にスパムかフィッシングだと思っただろう。結局 AWS はその方針を撤回した。ちなみに通常は [e-mail] や [e-mail] のような、もっと公式らしく見えるアドレスからメールが来る

• 強制的なコンプライアンスメールを、そのままフィッシングの試みとして報告してしまってもいいのではないか。私はいくつもの大企業で働いてきたが、年次 IT セキュリティ確認メールはたいてい有害なメールのように見える。奇妙な書式、怪しい外部 URL の送信元、緊急対応の要求、違反時の処罰警告などだ。これほど多くの金を教育に費やしながら、結局はユーザーを脅威に慣れさせてしまっている

  • メールヘッダーに X-PHISH がある場合、条件を追加してもよさそうだ

• ウェブサイトへ誘導するには、むしろもっと悪意がありそうに見える URL を使うべきだと思う
  https://pc-helper.xyz/root-exploit/virus_loader_tool.exe?id=...

• 本当に悪質なやり方は、ある種の逆心理を利用することだ

1. こういうサイトを作る
2. 人々に銀行、ソーシャルメディア、メールなど重要なサイトの URL を入れて試させる
3. しばらくは普通に使えるようにしておいて、その後で訪問者を関連するフィッシングサイトへそっと誘導する
4. ユーザーはすでに「いかにも偽物」な警告を見流すようになっているので、本当の危機では警戒心が鈍るかもしれない

• 自分のドメイン名で試してみたところ、
  https://cheap-bitcoin.online ドメインへのリンクを受け取った。VirusTotal にその URL を送ってみたら、1か所でマルウェアに分類されたと出た。とてもおかしくて、本当に面白かった

• いいね！ 生成されたリンクのどこかに safelinks.protection.outlook も含まれているとよさそうだ

• 私は very-secure-no-viruses.email ドメインを登録して一時メールに使っている。わざとできるだけ怪しく聞こえるようにした。だがそのせいでサポートチームとのやり取りが混乱することがよくあった

  • 私は [e-mail] のアドレスを使っているのだが、人々はこれが間違っていて email.com ではないのかと、しきりに指摘してくる