ネットワークセキュリティについて言えば、「フィッシング」という言葉は避けて通れません。データセキュリティとプライバシーに対する重大な脅威の一つとみなされることが多いフィッシングは、複雑かつ蔓延する問題です。サイバー攻撃者がデータ窃取の手法をますます巧妙化させている現代においては、特にその傾向が顕著です。そこで重要な疑問となるのは、 「フィッシングには4つの種類がある」ということです。これらの脅威を包括的に理解することが、効果的なサイバーセキュリティの基盤となります。ここで取り上げる主なフィッシングの種類は、メールフィッシング、スピアフィッシング、ホエーリング、そしてヴィッシングです。
メールフィッシング
メールフィッシングは、この悪質な活動の最も伝統的な形態であり、サイバーセキュリティ分野における一般的な課題です。サイバー犯罪者は、信頼できる情報源を装った偽のメールを巧妙に作成し、受信者を騙して埋め込まれたリンクをクリックさせたり、添付ファイルをダウンロードさせたりしようとします。この攻撃が成功すると、クレジットカード情報、ログイン認証情報、その他の個人情報といった機密情報にアクセスできるようになります。
メールフィッシングは一般的に複数のユーザーを標的とし、大数の法則に大きく依存しています。これはまさに数字のゲームであり、標的とするユーザーが多いほど、少なくとも1人の受信者を騙せる可能性が高くなります。この形態の典型的な例として、悪名高い「ナイジェリアの王子」詐欺が挙げられます。この詐欺は、少額の前払い金と引き換えに多額の金銭を約束するものです。
スピアフィッシング
スピアフィッシングは、メールフィッシングのより洗練された形態と言えるでしょう。一般的なメールで広範囲に標的を絞るのではなく、スピアフィッシングの犯人は、特定の個人や企業を狙う戦術的なアプローチを採用します。標的に関する個人情報（通常は個人のブログ、ソーシャルネットワーキングサイト、その他のデジタルプラットフォームから収集）を武器に、攻撃者は高度にカスタマイズされたフィッシングメールを作成します。この特異性により、標的がフィッシングの餌に引っかかる可能性が大幅に高まります。
大企業や組織はスピアフィッシングの被害に遭い、深刻なデータ漏洩やユーザー情報の漏洩に繋がるケースが頻繁に発生しています。注目すべき事例の一つとして、2011年のRSA SecurID攻撃が挙げられます。この攻撃では、攻撃者が公式のSecurID暗号化にアクセスし、それを利用してさらなる攻撃を仕掛けました。
捕鯨
「大物」を狙うホエーリング攻撃は、その名の通り、経営幹部、企業のCEO、あるいは組織内の影響力を持つ人物を特に標的とします。こうした標的の重大性を考えると、ホエーリング攻撃は深刻な金銭的損失や風評被害につながる可能性があります。攻撃者は信頼できる情報源を装ってメールを送信します。その内容は、従業員からの仕事に関する問い合わせや、他の経営幹部からの金銭的な依頼などです。
比較的単純なフィッシング攻撃とは異なり、ホエーリング攻撃は通常、法律用語や企業ロゴ、ブランドイメージを盛り込んだ精巧なメールを伴います。ホエーリングの顕著な例としては、2016年にSnapchatで発生した攻撃が挙げられます。この攻撃では、CEOを装った詐欺師が、何も知らない従業員から従業員の給与情報を要求し、入手しました。
ヴィッシング
ヴィッシング（音声フィッシング）は、フィッシングの種類に新たな側面をもたらします。詐欺師はメールではなく、電話や音声メッセージを用いて、信頼できる組織を装います。被害者は、問題の解決、賞品の受け取り、罰金の回避などを装い、個人情報や金融情報を盗み取られることがよくあります。
ビッシングは、電話サービスに対する一般的な信頼を悪用し、メールよりも説得力があるため、特に危険です。特に被害が大きかったビッシングの例としては、2019年の銀行電話詐欺が挙げられます。詐欺師は発信者番号を操作し、本物の銀行からの電話であるかのように見せかけ、顧客を騙して銀行情報を開示させようとしました。
結論は
フィッシングは、デジタルセキュリティ環境において間違いなく大きな障害となっています。有効な防御策を構築するには、「4つのフィッシングの種類（メールフィッシング、スピアフィッシング、ホエーリング、ヴィッシング）とは何か」を理解することが不可欠です。これらは主要な種類ですが、フィッシングは本質的に常に進化する脅威であることを認識することも同様に重要です。サイバーセキュリティ対策が強化されるにつれて、フィッシング戦略も高度化しています。こうした変化に常に対応することが、安全なサイバー環境を維持する鍵となります。