スピア フィッシング: それは何ですか? また、それを検出して軽減する方法は何ですか?

スピア フィッシングは、組織や個人が機密情報や金銭を失い、風評被害を引き起こす危険なサイバーセキュリティ攻撃です。

FBI によると 、組織はスピア フィッシング詐欺師の標的となっており、このような詐欺により約 24 億ドルの損失を被っています。

「iPhone 12 が当たりました!」というメールやテキスト メッセージを目にしたことがあるかもしれません。次に、リンクをクリックしてオファーを請求するよう案内されます。

こうして人々はフィッシングなどの詐欺に騙されてしまうのですが、スピアフィッシングはその一歩先を行くものです。

攻撃者は、より個人化された電子メールを本物のように送信し、人々を騙して機密情報を漏らしたり、送金させたりします。

しかし、そのような攻撃から身を守るにはどうすればよいでしょうか?そして最も重要なのは、攻撃を検出する方法です。

この記事では、スピア フィッシングについて説明し、これらの質問に答えます。

それでは、乞うご期待！

フィッシングとは何ですか?

フィッシングは、攻撃者が正規の送信元を装い、通常は電子メール、テキスト メッセージ、または電話を通じてターゲットとの通信を試みるサイバー攻撃です。ログインの詳細、クレジット カードやデビット カードの資格情報、パスワードなどの機密のビジネス データや個人データを盗むことを目的としています。

これは、ターゲットを誘惑して悪意のあるリンクを開かせ、電子メールまたはテキスト メッセージ経由で送信された添付ファイルをダウンロードし、デバイスにマルウェアをインストールすることによって行われます。このようにして、攻撃者はターゲットの個人データとオンライン アカウントにアクセスし、データを変更する許可を取得し、接続されているシステムを侵害したり、コンピューター ネットワーク全体を乗っ取ったりします。

ハッカーは、クレジット カードの詳細や個人データを利用して、金銭的利益を得るためにこれを行う可能性があります。また、システム、ネットワーク、データを返すために身代金を要求する場合もあります。また、ハッカーが従業員をだましてビジネス情報を盗み出し、企業を標的にする場合もあります。

フィッシング キャンペーンを構成するものは次のとおりです。

• 「宝くじに当選しました!」「iPhone 12 を請求してください」などと主張するメールなど、正当で魅力的なメッセージは受信者の注意を引くように設計されています。
• 緊迫感を醸成し、取引の締結、シナリオへの対応、情報の更新などに時間が限られているため、迅速に行動するよう伝えます。
• 通常とは異なる送信者からの送信、または予期せぬ、型破り、または疑わしい送信者からの送信
• 人気サイトへの疑わしいリンクまたはスペルミスのリンクへのハイパーリンク
• 予期しない、または意味をなさない添付ファイル

スピアフィッシングとは何ですか?

スピア フィッシングは、高度にカスタマイズされた電子メールや添付ファイルを送信することで、組織内の特定のグループや個人をターゲットにするフィッシング キャンペーンの一種です。

スピア フィッシングの加害者は、自分自身を信頼できる存在または既知の存在であるかのように装い、被害者を騙して信じさせ、機密情報を提供したり、マルウェアをダウンロードしたり、送金したりしようとします。

スピア フィッシングは、既知または信頼できる個人を装ったサイバー犯罪者がターゲットを騙して添付ファイルをダウンロードさせたり、悪意のある電子メールやテキストをクリックさせたりするソーシャル エンジニアリング戦術とみなすこともできます。これにより、ターゲットは機密情報を漏洩したり、無意識のうちに組織ネットワークに悪意のあるプログラムをインストールしたりすることになります。

スピア フィッシングの目的は、個人のアカウントにアクセスし、高官、機密情報を持つ人物、軍人、セキュリティ管理者などになりすますことです。

例 : 2015 年、Google と Facebook はリトアニアの電子メール詐欺により 約 1 億ドルの損失 を被ったと考えられています。

フィッシング vs. スピアフィッシング

1. タイプ: フィッシングはより広い用語ですが、スピア フィッシングはフィッシングの一種です。どちらも特定の個人や企業を標的としたサイバー攻撃で、電子メールやメッセージを通じて機密情報を入手します。

2. ターゲット: フィッシング詐欺は一般的に、攻撃者によって 1 つの悪意のある電子メールが一度に数千人に送信される可能性があります。彼らはより広範囲に網を張り、情報や金銭を得るために被害者を捕まえようとします。

一方、スピア フィッシングは、ビジネス情報、個人情報、軍事情報、クレジット カードやデビット カードの詳細などの金銭関連の文書、銀行のパスワードなどの非常に機密性の高い情報を所有する組織の特定の個人またはグループを特にターゲットにしています。アカウントの認証情報など

3. 電子メールの種類: フィッシングには一般的な情報が含まれており、人々を誘惑して機密情報を漏らしたり、送金させたりすることがあります。

対照的に、スピア フィッシングでは、特定の個人またはグループ向けにカスタマイズされ、巧妙に作成された電子メールが使用されるため、正規の送信元と区別するのが困難になります。より信頼を確立し、この種の攻撃の被害者にしようとして、名前、階級などが含まれる場合があります。

4. 例: フィッシング キャンペーンの例としては、「iPhone XI が当たりました」などがあります。これは特定の個人を対象としたものではなく、提供されたリンクをクリックして「賞品」を獲得する人を対象としています。また、コンテストでどこでどのように優勝したかも明らかにされません。被害者となる可能性のあるより多くの視聴者を対象としています。

スピア フィッシング キャンペーンの例としては、本物の送信元、または自分の名前や組織内での地位を含めた知り合いの人物から送信されたかのように見せる、巧妙に作成された電子メールが挙げられます。

ただし、サイバー犯罪者は、最終目標に基づいて、フィッシングとスピア フィッシングの両方の種類の詐欺を使用します。質よりも量を重視することで、フィッシングを利用して成功の可能性を高めることができます。逆に、量よりも質を重視しながら、組織内での成功の可能性を高めるためにスピア フィッシングを利用することもできます。

スピアフィッシングの種類

スピア フィッシングには次のようなさまざまな種類があります。

クローンフィッシング

クローン フィッシングは、加害者が本物の電子メールの「更新」を設計し、受信者にそれが本物であり、実際には以前の電子メールの更新であると思わせる攻撃です。しかし、攻撃者はこの新しい電子メールに悪意のある添付ファイルまたはリンクを挿入し、実際の電子メールを置き換えます。

このようにして、受信者は詐欺に遭い、重要な情報を暴露されます。

悪意のある添付ファイル

このタイプのスピア フィッシングは一般的です。攻撃者は、悪意のある添付ファイルとリンクを含む電子メールを送信することにより、組織内の個人またはグループに標的型攻撃を送ります。攻撃者は盗んだ情報を悪用し、ランサムウェアを要求することもあります。

受信トレイでそのような不審または予期しない電子メールを見つけた場合は、リンクや添付ファイルをクリックしたり開いたりしないでください。それでも電子メールが正規のものであり、リンクを開いた方がよいと思われる場合は、その電子メールの上にカーソルを置くだけで、そのリンクの完全なアドレスが表示されます。

これは、アドレスを評価し、その整合性を確認するのに役立ちます。悪意のあるリンクには、スペルミスやその他の不規則なアドレスが含まれており、注意を払わなければ無視できます。したがって、安全を期すために、添付ファイルをダウンロードしたりリンクをクリックしたりする前に、リンクのソースを確認してください。

なりすまし

詐欺師は、電子メールで評判の高い有名ブランドになりすまして、ユーザーがブランドから実際に受け取る通常の電子メール ワークフローを複製することができます。ここでも、攻撃者は元のリンクを、なりすましのログイン Web ページなどの悪意のあるリンクに置き換えて、アカウントの詳細やその他の情報を盗みます。銀行や動画配信サービスなどでは、なりすましが頻繁に行われています。

CEO と BEC の詐欺

サイバー犯罪者は、CEO やその他の高官になりすまして、組織の財務部門や経理部門の従業員を標的にすることがあります。役職がはるかに低い従業員は、上位の役人からの特定の指示にノーと言うのが難しい、またはほぼ不可能であると感じています。

ビジネスメール侵害 (BEC) 詐欺や CEO メール詐欺を通じて、攻撃者は高官の影響力を利用して従業員を騙し、機密データを漏らしたり、送金したりする可能性があります。

スピアフィッシングはどのように行われるのでしょうか?

スピア フィッシング攻撃は、ターゲットに合わせて特別に調整されており、ターゲットに関して収集された情報に基づいて慎重に設計されています。

ターゲットの選択

攻撃者はまず、組織内の個人またはグループをターゲットとして選択し、その後、その人物に関する調査と情報の収集を続けます。

現在、詐欺師はターゲットを選択する際にも特別な考慮事項を考慮しています。これは、個人がアクセスできる情報の種類と、攻撃者がターゲットに関して収集できるデータに基づいて行われます。通常、彼らはデータを簡単に調査できる人を選びます。

スピア フィッシングは通常、高官や幹部をターゲットにしていません。操作しやすいため、代わりに経験や知識が不足している人を選ぶこともあります。さらに、新入社員または下位レベルの従業員は、組織のセキュリティ ポリシーや対策を知らない可能性があります。したがって、間違いを犯し、セキュリティの侵害につながる可能性があります。

ターゲットに関する情報の収集

次に、攻撃者は、LinkedIn、Facebook、Twitter などのソーシャル メディアやその他のプロフィールなどのソースからターゲットの公開データを追跡します。また、地理的位置、社会的連絡先、電子メール アドレスなどに関する情報を収集する場合もあります。

有害なメールの作成

攻撃者はターゲットの詳細を蓄積した後、それらを使用して、ターゲットの名前、組織内でのランク、好みなどに応じてカスタマイズされた信頼性の高い電子メールを作成します。悪意のある添付ファイルまたはリンクを電子メールに挿入し、ターゲットに送信します。

電子メールだけでなく、スピア フィッシング キャンペーンはソーシャル メディアやテキスト メッセージを通じてターゲットのデバイスに侵入する可能性があります。見知らぬ個人から、寛大で注目を集めるオファーをしてきたり、デビット/クレジット カードの詳細や OTP などを渡すなどのタスクをすぐに完了するよう緊迫感を与えたりするものです。

詐欺

ターゲットが電子メールまたはテキスト メッセージが正当なものであると信じて、要求されたことを実行すると、詐欺に遭います。攻撃者が送信した悪意のあるリンクや添付ファイルをクリックして機密情報を暴露したり、支払いを行ったり、マルウェアをインストールしてシステム、デバイス、ネットワークをさらに侵害する可能性があります。

これは個人や組織にとって壊滅的なものであり、金銭、評判、データの面で損害を被ることになります。このような組織は、顧客データを保護しなかった場合にも罰せられる可能性があります。場合によっては、攻撃者は盗まれた情報を返すためにランサムウェアを要求することもあります。

スピアフィッシングを検出するにはどうすればよいですか?

スピアフィッシング攻撃は巧妙ですが、それを特定して警戒を続ける方法があります。

送信者を特定する

有名ブランドと似たドメイン名からメールを送信することは、スピアフィッシングでよく使われる手法です。

たとえば、電子メールが、誰もが知っている amazon (アマゾン) からではなく、「arnazon」から送信される場合があります。 「m」の代わりに「r」と「n」という文字が使用されていますが、あまり注意を払わないと同じように見えるかもしれません。

したがって、予期しないメールを受信した場合は、送信者を確認してください。ドメイン名の綴りは慎重に行ってください。疑わしいと思われる場合は、関与しないでください。

件名を評価する

スピアフィッシングメールの件名は、恐怖や切迫感を与え、すぐに行動するよう促す可能性があります。 「緊急」「重要」などのキーワードが含まれる場合があります。また、「転送」「依頼」などを使用してあなたとの信頼関係を築き、注目を集めようとする場合もあります。

さらに、高度なスピア フィッシング戦術には、ユーザーとのつながりを構築して情報を盗んだり、金銭を騙し取ったりするための長期的な戦略が含まれる場合があります。

したがって、件名にそのような危険信号がないか確認し、メッセージ全体を注意深く読んでください。メールが不審な場合はフォローしないでください。

コンテンツ、添付ファイル、リンクを検査する

電子メールまたはテキスト メッセージの完全な内容 (添付のリンクや添付ファイルも含む) を注意深く調べてください。ソーシャル アカウントで個人情報を提供した場合、攻撃者がその情報を利用してメールに使用した可能性があります。したがって、自分の名前やその他の個人情報が表示されても、それが信頼できると考えないでください。

リクエストを確認する

上記の要素を確認してもメールに不審な点が見つからない場合は、まだ結論を出さないでください。電子メールを送信し、特定のデータや金銭を要求している人物を知っている場合は、電話をかけるかリアルタイムで接続して確認するのが最善です。

例 : 銀行口座に対処する必要がある特定の問題があり、そのためにデビット カードの詳細または OTP がすぐに必要であることを伝える電子メールを受け取ったとします。情報を明かすのではなく、銀行の支店に電話して、本当にこれらすべてが必要かどうか尋ねてください。この重要な情報は電子メールや電話では行われないため、答えは「ノー」です。

スピアフィッシングから身を守るには?

セキュリティ インシデントを完全に回避することはできませんが、安全を確保するために特定の戦略を採用することはできます。以下に、スピア フィッシングを防止する方法をいくつか示します。

厳格なセキュリティポリシーを適用する

組織全体に厳格なセキュリティ ポリシーを適用することは、スピア フィッシングを含むあらゆる種類のサイバーセキュリティ リスクを軽減するための第一歩です。データの共有、支払い、顧客やビジネスの詳細の保存などを行う際には、全従業員がポリシーに従う必要があります。また、全員に次のことを指示してパスワード ポリシーを強化する必要があります。

• ユニークで強力かつ複雑なパスワードを使用する
• 複数のアカウント、アプリケーション、またはデバイスに対して 1 つのパスワードを使用しないでください。
• パスワードを他人と共有することを禁止する
• パスワードは慎重に管理する

MFA を使用する

多要素認証 (MFA) は、リスクを軽減するためのセキュリティ技術です。ユーザーは、アカウントまたはアプリケーションにアクセスする際に、検証のために複数の身元証明を提示する必要があります。これにより、追加のセキュリティ層が作成され、攻撃の可能性が軽減されます。

そのため、たとえ 1 つのパスワードが侵害されたとしても、セキュリティを強化し、攻撃者の難易度を高めるための他の層が存在することになります。また、アカウントがハイジャックされる前に、異常を発見して修正するためのバッファー時間を与えます。

セキュリティ意識の向上

テクノロジーは進化しており、サイバー攻撃や手法も進化しています。したがって、最新のリスクを常に把握し、それらを検出して防止する方法を知っておく必要があります。したがって、従業員を訓練し、攻撃につながる可能性のある間違いを犯さないように現在のシナリオを認識させてください。

電子メールセキュリティシステムを使用する

ほとんどのスピア フィッシング詐欺は電子メール経由で行われます。したがって、電子メール セキュリティ システムまたはソフトウェアを使用して電子メールを保護すると効果的です。疑わしい電子メールを見つけてブロックしたり、脅威を修復したりするように設計されているため、受信トレイに明確で正当な電子メールのリストを保存できます。 Proofpoint、Mimecast、Avanan などの電子メール セキュリティ ソフトウェアを使用できます。

パッチとバックアップ

すべてのシステム、ソフトウェア、アプリケーションを定期的にパッチして更新し、悪用される脆弱性がないことを確認しながら最適な動作を維持する必要があります。さらに、データのバックアップを定期的に作成すると、データを安全に保つことができます。そのため、たとえ攻撃や自然災害が発生したとしても、失われたデータが完全に失われることはありません。

ただし、すでに悪意のあるリンクをクリックしたり、有害な添付ファイルをダウンロードした場合は、次の手順を実行してください。

• データを提供しないでください
• パスワードをすぐに変更する
• IT セキュリティ部門に通知する
• ウェブから切断する
• ウイルス対策ソフトウェアでシステムを徹底的にスキャンする

結論

サイバーセキュリティ攻撃は進化し、より高度になっています。スピア フィッシングは、データ、金銭、評判の点で個人と企業の両方に損害を与える攻撃の 1 つです。

したがって、自分自身と組織を守るためには、スピア フィッシングなどのサイバー犯罪に関する知識を理解し、検出することが重要です。