この記事は、2025年8月14日に公開されたBleepingComputerの記事「Booking.com phishing campaign uses sneaky 'ん' character to trick you」を基に、脅威アクターがUnicode世界の文字コード：世界中の文字を統一的に扱うためのシステムの日本語ひらがな「ん」を悪用した新しいフィッシングキャンペーンを解説します。この攻撃は、視覚的な類似性を利用したホモグラフ攻撃そっくりさん文字攻撃：見た目が似た文字で偽装する手口（そっくりさん文字攻撃）の一種で、ユーザーを騙してマルウェアデジタル泥棒：個人情報を盗んだりPCを操作したりする悪意あるプログラムを感染させるものです。以下では、攻撃の仕組み、被害の流れ、技術的盲点、防御策をステップごとにわかりやすく説明し、批評的視点も提供します。

1. 攻撃の基本的な仕組み：世界の文字コードを悪用したURL偽装

この攻撃の核心は、Unicode世界の文字コード：世界中の文字を統一的に扱うためのシステム文字の「ん」（U+3093）をURLに組み込み、ユーザーの目を欺く点にあります。世界の文字コードは多言語対応の標準規格ですが、フォントやブラウザのレンダリングにより、文字がスラッシュ（/）のように見える場合があります。これを利用して偽URLを作成します。たとえば、漢字の「一」とアルファベットの「l」がそっくりなように、コンピュータの世界でも似た文字が悪用されます。

🔍 初心者向け解説：見た目をだましてURLを偽装する攻撃
インターネットでURLを見て「本物のサイト」と思ってクリックすることがありますよね。でも、実はニセモノだったら？このそっくりさん文字攻撃ホモグラフ攻撃：見た目が似た文字で偽装する手口では、「ん」を使って本物そっくりのURLを作り出します。

💡 どうやってだますの？
「ん」（U+3093）は、フォントによっては斜めの線「/」にそっくりに見えます。そのため、URLに「ん」を入れると、本物のURLと間違えやすくなります。

🕵️‍♀️ 例
本物： https://example.com/login
偽物： https:んんexample.comんlogin
一部のフォントでは本物に見えてしまいます。

• 具体的な偽装例

  • 表示上：https://admin.bookingんcom/hotel/hoteladmin/...
    • 「ん」がスラッシュや「/n」に見え、https://admin.booking.com/hotel/hoteladmin/...と勘違い。
  • 実際のURL：https://admin.bookingncom/...またはhttps://www-account-booking.com/...
    • 「ん」は世界の文字コードなので、ブラウザは「n」と別扱いだが、視覚的に紛らわしい。

• なぜこれが有効か？

  • ブラウザやメールクライアントのフォント依存：ChromeやFirefoxでは「ん」が斜体に見える場合がある。モバイルではフォント最適化により偽装が効きにくい。
  • ユーザーの心理：急いでいる時やカジュアルにリンクをクリックすると、URLを詳細に確認しない。

この手法はホモグラフ攻撃そっくりさん文字攻撃：見た目が似た文字で偽装する手口と呼ばれ、似た文字（そっくりさん文字）でドメインを偽装します。例として、Intuitを狙った攻撃では「l」を「i」に似せ、intuit.comをintult.comに偽装。国際化ドメイン名（IDN）の視覚的類似性が弱点です。

2. 被害の流れ：クリックからデジタル泥棒の感染まで

攻撃のプロセスはシンプルかつ巧妙です。以下にステップごとに説明します。

1. フィッシングメールの受信とクリック

   • Booking.comユーザー向けの「予約の更新」や「支払い確認」などの緊急性を煽るメールを受信。
   • メール内のリンクをクリックすると、「ん」を使った偽装URLに誘導。

2. リダイレクトとマルウェアデジタル泥棒：個人情報を盗んだりPCを操作したりする悪意あるプログラム配布サイトへの誘導

   • CDN経由で悪意あるサイトにリダイレクト。CDNは攻撃者のサーバーを隠蔽し、検知を困難に。
   • 偽サイトはBooking.comの管理画面を模倣し、ユーザーを騙す。

3. マルウェアデジタル泥棒：個人情報を盗んだりPCを操作したりする悪意あるプログラムのダウンロードと実行

   • MSIファイルが自動ダウンロード。Windowsの信頼されやすい形式を悪用。
   • マルウェアデジタル泥棒：個人情報を盗んだりPCを操作したりする悪意あるプログラムの種類：
     • 情報窃取型マルウェアデジタル泥棒：個人情報を盗んだりPCを操作したりする悪意あるプログラム：パスワード、クレジットカード情報、Cookieを窃取。アカウント乗っ取りや二次攻撃を可能に。
     • RAT：PCを遠隔操作。ファイル窃取、キーロガー、ランサムウェアの追加感染。
   • マルウェアデジタル泥棒：個人情報を盗んだりPCを操作したりする悪意あるプログラムはC&Cサーバーにデータを送信し、バックグラウンドで動作。

この流れはIntuitのフィッシングでも同様で、PCユーザーが主なターゲット。モバイルではフォントの違いで攻撃が効きにくい。

3. 技術的盲点と批評的視点

この攻撃は技術や制度の「隙間」を突きます。以下の表で、盲点と批評的視点を整理します。

これらの盲点は技術的だけでなく、社会的・制度的問題です。世界の文字コードの多言語サポートはグローバル化の利点だが、攻撃者は「責任の空白地帯」を悪用。モバイルの優位性はPCユーザーのセキュリティ意識の低さを示し、教育の必要性を浮き彫りにします。

4. 防御策と注意点

• ユーザー側

  • URLをホバーして実際のリンクを確認。ブラウザのアドレスバーを従常にチェック。Booking.comの正規ドメイン（booking.com）を検証。

• 企業・ブラウザ側

  • ホモグラフ攻撃そっくりさん文字攻撃：見た目が似た文字で偽装する手口検知機能の強化（例：ChromeのIDNポリシー更新）。フォント標準化や疑わしいUnicode世界の文字コード：世界中の文字を統一的に扱うためのシステムの警告表示。

• 全体的な教訓

  • 技術の進化がもたらす「予期せぬ副作用」を示す。セキュリティは技術、ユーザー教育、制度改革が鍵。