家ビジネススピアフィッシング攻撃：知っておくべきこと

スピアフィッシング攻撃：知っておくべきこと

2024

民主党全国委員会（DNC）のジョン・ポデスタの補佐官が彼に、ポデスタのGmailアカウントがハッキングされたと主張するメールを転送したとき、ポデスタは私たちのほとんどがしたであろうことをしました。新しいパスワードを入力します。彼はそうし、それから彼の毎日の仕事に取りかかった。残念ながら、ポデスタ、民主党、およびヒラリークリントンの大統領選挙キャンペーンにとって、ポデスタに送信されたメールはGoogleからのものではありませんでした。むしろ、ロシアのハッキンググループ「Fancy Bear」からのスピアフィッシング攻撃でした。

「スピアフィッシング」という言葉を聞いたことがない場合でも、この種の攻撃を聞いたことは間違いありません。あなたはおそらく彼らの標的にさえなっているでしょう。これらの攻撃は通常、資格情報の変更を求めるカスタマーサポートメールの形式を取ります。または、偽のメールアドレスを介して、非常に個人的な顧客または従業員のデータを要求する企業に送信できます。たとえば、2015年、ユビキティネットワークスの従業員は、従業員がユビキティの幹部から送信されたと思われるメールの要請で、46.7百万ドルを海外の口座に振り替えました。実際には、ハッカーは、実際のユビキティのエグゼクティブアカウントと似ている偽装メールアカウントを作成し、従業員をだましました。

電子メールセキュリティ会社IronScalesが実施した最近の調査のデータに基づくと、攻撃の77％は10アカウント以下を標的とし、攻撃の3分の1は1アカウントのみを標的としています。攻撃は短く、47％が24時間未満、65％が30日未満続きます。従来のスパムフィルターとエンドポイント保護ツールは攻撃をキャッチしていません。スパムフィルターによって識別された5つの攻撃ごとに、20の攻撃がユーザーの受信トレイに侵入しました。

（画像経由：IronScales）

IronScalesのCEOであるEyal Benishti氏は、次のように述べています。「攻撃者は、非常に包括的な偵察プロセスを実行して、過去数年よりもはるかに多くの時間をターゲットの調査に費やしています。「その結果、攻撃者が合法的な内部通信のように見えるように電子メールを作成するのに役立つ偵察を通じて情報を収集できるため、フィッシングメールは標的となる企業に高度に標的化され、調整されました。組織の専門用語と署名、およびコンテンツは、企業内および信頼できる当事者間で現在実行されている内容に大きく関連しています。」

Forrester Researchのプリンシパルアナリスト、ジェフポラードは、これらの攻撃も巧妙に成長していると付け加えました。「人々がクリックするために使用されるルアーの点でも、システムへの侵入を得るために使用されるマルウェアの点でも、攻撃はより洗練されています」とPollard氏は述べています。「しかし、サイバーセキュリティは防御者と攻撃者の間の絶え間ない戦いであるということを考えると、それは我々が期待することです。

ソリューション

これらの攻撃に対抗するために、企業はフィッシング対策ソフトウェアを使用して、入ってくる攻撃を検出してフラグを立てています。スパム対策およびマルウェア対策ツールは、ビジネスデータを保護することを望んでいる企業にとっては非常に簡単です。しかし、IronScalesなどの企業は、機械学習（ML）ツールを階層化して、大ざっぱなフィッシングメールをプロアクティブにスキャンしてフラグを立てることで、さらに一歩進んでいます。さらに、MLではツールで詐欺データをコンパイルまたは記憶できるため、ソフトウェアはすべてのスキャンで学習および改善されます。

「この技術により、通常は署名ベースのソリューションをバイパスする小さな調整で、攻撃者が防御者をだますのが難しくなります」とBenishti氏は述べています。「MLを使用すると、同じ攻撃のさまざまな亜種をすばやくクラスタ化し、フィッシングとより効果的に戦うことができます。実際、分析から、MLはシステムをトレーニングして、信頼できるパートナーからの正当な電子メールまたは同僚と非正当な同僚」

この種の攻撃に対する保護手段はテクノロジーだけではありません。スピアフィッシング攻撃に対する最も重要な防御策は、おそらく教育と注意です。「一部の企業は脅威を認識していますが、現在のソリューションは標的型攻撃から保護していると誤って信じている企業もあります」とBenishti氏は述べています。「同じ防御メカニズムを使用し、将来の攻撃で異なる結果を期待することは、単にできないことを理解することが非常に重要です。従業員の意識とトレーニング…この未知の攻撃のギャップを埋めるために密接に連携する人々と機械が、リスクを軽減する唯一の方法です。」

（画像経由：IronScales）

安全を保つ方法

以下は、あなたとあなたの会社が詐欺に遭わないようにするための非常に簡単な方法です。

会社のメールの件名に「内部」または「外部」というラベルが付いていることを確認してください。
電話で疑わしいまたは危険な要求を確認します。たとえば、CEOからメールが送信され、個人の健康データを送信するように求められた場合、その人に電話をかけるか、チャットメッセージを送信して要求を確認します。
会社からパスワードの変更を求められた場合は、電子メール通知のリンクを使用しないでください。代わりに会社のWebサイトに直接アクセスし、そこからパスワードを変更します。
どのような状況でも、パスワード、社会保障番号、またはクレジットカード情報をメール本文の誰かに送信しないでください。
他のテキストや情報を含まないメールのリンクをクリックしないでください。

「防御が向上すると、攻撃も向上します」とポラードは述べました。「ターゲットを絞ったスピアフィッシングおよび捕鯨キャンペーンが見られると思います。また、ソーシャルメディアのフィッシングおよび詐欺の増加が見られるでしょう。これは、メールセキュリティほどセキュリティの観点から成熟していない分野です。」

残念ながら、どんなに慎重であっても、攻撃は激化し、よりインテリジェントになります。自分自身と従業員を教育するために力を尽くし、新しいテクノロジーに裏付けられたフィッシング対策を構築し、あらゆる予防策を講じることができます。しかし、ポラード氏が指摘したように、「1日だけで悪いクリック、1回のミスクリック、または急いで1人のユーザーが受信箱を片付けようとすると、大惨事につながります」。