サイバーセキュリティの重要性を理解することは、もはやIT部門だけの仕事ではありません。サイバー犯罪が蔓延する中、サイバーセキュリティへの意識を高めることは、私たち全員の責任です。サイバー犯罪者が私たちの防御を突破するために使用する主な手段の一つがフィッシングです。フィッシングとは、ユーザーを騙して重要な個人情報を盗み出すための手口です。フィッシングの手口を理解することで、自分自身と組織をセキュリティ脅威から効果的に守ることができます。
このトレーニングで紹介するフィッシング手法は、スピアフィッシングとホエーリングの2つです。これらの言葉に驚かれた方もいらっしゃるかもしれませんが、このトレーニングを終える頃には、もうこれらの言葉はあなたにとって何の秘密でもなくなるでしょう。
スピアフィッシング：特定の個人を狙う
スピアフィッシングは標的型フィッシングの手法です。不正なメールやメッセージを大量に送信してしまう通常のフィッシング攻撃とは異なり、スピアフィッシングは直接的な標的を狙います。攻撃者は、有名な組織や同僚など、信頼できる情報源からの正当なメッセージに見せかけるフィッシング手法を巧みに構築します。しかし、実際にメッセージを作成する前に、攻撃者はターゲットについて徹底的な調査を行い、メッセージが本物らしく見えるようにします。
スピアフィッシング攻撃の仕組みを理解するために、その仕組みを詳しく見ていきましょう。攻撃は、銀行やオンラインストアなど、信頼できるソースから送られたと見せかけたメールから始まります。そこには既にあなたの情報が入っています。攻撃者は、あなたに関する入手可能な情報を利用して、あなた向けにカスタマイズされたメールを装います。
このメールは、あなたのアカウントで何らかのアクティビティが発生しており、すぐに対応する必要があると思わせるかもしれません。多くの場合、メールには正規のウェブサイトを模倣したフィッシングサイトへリダイレクトするリンクが記載されています。こうした不正な要求に迅速に対応しようとするあまり、個人情報を入力してしまい、結果として攻撃者の罠に陥ってしまうことがよくあります。
捕鯨：大物を追いかけて
ホエーリングは、組織内の大物、つまり上級幹部を狙うフィッシング手法の一つです。スピアフィッシングと同様に標的を絞りますが、リスクははるかに高くなります。攻撃者は、別の上級幹部、あるいはその幹部の信頼できる連絡先になりすまします。送信者のアドレスを偽装し、幹部の言語スタイルを使用することで、その虚偽のメッセージを送りつけます。
経営幹部に送られたメールには、早急な対応が必要な重要な事項が書かれています。内容は、法的問題、顧客からの苦情、内部監査など多岐にわたります。緊急感と、コンプライアンス違反による悪影響への恐怖が相まって、被害者はメールに基づいて即座に行動を起こさざるを得なくなります。
ホエーリング攻撃は通常、機密情報の漏洩、または悪意のある添付ファイルのクリックを伴い、これにより経営幹部のシステムにマルウェア、ランサムウェア、その他の有害なソフトウェアがインストールされます。これらの攻撃は、経営幹部に深刻なセキュリティ侵害や経済的損失をもたらす可能性があります。
フィッシング攻撃に対するSGuarding
主要なフィッシング手法を解明したので、次はそれらから身を守る方法について詳しく説明しましょう。これらの攻撃の鍵となるのは欺瞞であることを覚えておいてください。そのため、あらゆる防御策は、この欺瞞のベールを破ることにかかっています。具体的には、フィッシングの手口に関する知識と認識、システムの最新化、二要素認証の使用、そしてすべての機密取引に複数の承認を求めることなどが挙げられます。
組織全体で安全なオンライン行動を奨励しましょう。フィッシング攻撃の種類とその手口について、率直に情報を共有しましょう。サイバー脅威の変化に対応するため、組織のセキュリティ対策を定期的に更新しましょう。さらに、IT部門がフィッシング攻撃の可能性を監視、報告、対処できるよう支援しましょう。
結論として、スピアフィッシングとホエーリングは、サイバーセキュリティに敏感なすべての個人が常に警戒すべき2つの主要なフィッシング手法です。これらの手法は、欺瞞の術を駆使し、緊急事態への迅速な対応を悪用します。これらの戦略を認識し、「緊急」な連絡には慎重に疑いを持ち、安全なオンライン習慣を身につけることは、自分自身と組織をこれらのサイバーセキュリティの脅威から守る上で非常に重要です。