フィッシングとは、サイバー犯罪者が信頼できる人物、ブランド、サービスなどになりすまし、被害者をだまして機密情報を開示させたり、送金させたり、悪意のあるソフトウェアをインストールさせたりするソーシャルエンジニアリング攻撃です。フィッシングは一般的にメールと関連付けられますが、近年の攻撃ではSMS、電話、ソーシャルメディア、QRコード、偽のWebサイトなども利用されています。
攻撃者の目的は通常、被害者が依頼内容を確認する前に行動してしまうほどの信頼感や緊迫感を生み出すことです。窃取されたユーザー名、パスワード、決済情報、その他のデータは、その後、アカウントの乗っ取り、不正行為、さらなる攻撃などに悪用される可能性があります。
フィッシング攻撃はどのように行われるのか？
ほとんどのフィッシング攻撃は、シンプルな流れに沿って進行します。まず攻撃者は標的を選び、パスワードリセットの通知、請求書、配送通知、経営幹部からのメッセージなど、もっともらしい誘導材料を作成します。正規のメッセージに見せかけるため、送信者情報の偽装、正規ドメインに似せたドメイン、複製したWebサイトなどが使用される場合があります。
次に、被害者はリンクのクリック、添付ファイルの開封、QRコードのスキャン、または情報の直接入力を促されます。偽のログインページでは認証情報が窃取される可能性があり、悪意のある添付ファイルからマルウェアがインストールされることもあります。窃取された認証情報は、他のWebサイトやアプリケーションを標的とするクレデンシャルスタッフィング攻撃に再利用されることもあります。
フィッシングは単一のソフトウェア脆弱性ではなく、人間の判断を悪用する攻撃であるため、技術的なセキュリティ対策とセキュリティ意識の向上を組み合わせる必要があります。
一般的なフィッシング攻撃の種類
メールフィッシング
攻撃者は、銀行、クラウドプラットフォーム、配送サービス、勤務先などになりすまし、不正なメールを大量に送信します。通常、メッセージには悪意のあるリンクや添付ファイルが含まれています。
スピアフィッシング
スピアフィッシングは、特定の個人や組織を標的とする攻撃です。攻撃者は被害者について事前に調査し、役職、同僚、取引先、進行中のプロジェクトなどの情報を利用してメッセージを個別に作り込み、依頼内容をより信じやすいものにします。
スミッシングとビッシング
スミッシング（Smishing）はSMSやメッセージングアプリを通じてフィッシングメッセージを送信する手法で、ビッシング（Vishing）は電話や音声メッセージを利用します。どちらもソーシャルエンジニアリングを利用して被害者に圧力をかけ、情報を開示させたり、安全でない行動を取らせたりします。
ホエーリングとビジネスメール詐欺
ホエーリング（Whaling）は、経営幹部やその他の価値の高いユーザーを標的とします。ビジネスメール詐欺（Business Email Compromise、BEC）では、経営幹部、取引先、財務担当者などになりすまし、支払い、口座情報の変更、または機密性の高い業務データの提供を要求する手口が一般的です。
フィッシング攻撃を見分けるには？
フィッシングメッセージは、緊迫感、恐怖心、好奇心、金銭的なプレッシャーなどを利用することがよくあります。一般的な警告サインとしては、認証情報や支払いを突然要求される、送信者のアドレスが名乗っている組織と一致しない、不自然な表現が使われている、不審な添付ファイルがある、リンク先が見慣れないドメインやスペルの微妙に異なるドメインになっている、といった点が挙げられます。
ただし、文章が洗練されていることは、もはや正当なメッセージであることを判断する信頼できる基準ではありません。攻撃者は、説得力のあるメッセージや複製したWebサイトを短時間で作成できます。機密情報に関わる依頼については、メッセージそのものを信用するのではなく、別の信頼できる連絡手段を通じて確認する必要があります。
フィッシング攻撃が成功すると何が起こるのか？
フィッシング攻撃が成功すると、ログイン認証情報、金融情報、機密ファイル、認証コードなどが漏えいする可能性があります。攻撃者は取得したアクセス権限を利用して、アカウントを乗っ取ったり、データを窃取したり、不正な支払いを行ったり、組織の内部へさらに侵入したりする可能性があります。
フィッシングは、マルウェアやランサムウェアを最初に送り込む手段として利用されることもあります。認証情報が侵害されると、特にユーザーが複数のサービスで同じパスワードを使い回している場合、自動化ツールによって他のサービスでも同じ認証情報が試される可能性があります。
フィッシング攻撃を防ぐ方法
組織は、単一のフィルターや従業員向けトレーニングだけに依存するのではなく、多層的なセキュリティ対策を講じる必要があります。メール認証やフィルタリングによって悪意のあるメッセージを減らすことができる一方、従業員のセキュリティ意識を高めることで、不審な依頼を見分けやすくなります。
多要素認証（MFA）は、パスワードが窃取された場合にも重要な防御層となります。また、組織はサービスごとに異なるパスワードの使用を徹底し、不要なアクセスを制限し、異常なログイン挙動を監視し、ソフトウェアを最新の状態に保つ必要があります。さらに、高リスクな支払い依頼やアカウント変更依頼については、別の連絡手段を通じて確認することが重要です。
ゼロトラストのアクセス制御ポリシーを導入することで、機密性の高いアプリケーションへのアクセスを許可する前に、ユーザーのアイデンティティ、デバイスのセキュリティ状態、行動、コンテキストを継続的に評価し、認証情報が窃取された場合の影響をさらに軽減できます。
CDNetworksはフィッシング対策をどのように支援するのか？
フィッシングは、メール、SMS、音声通話、ソーシャルメディア、悪意のあるWebサイトなど、さまざまな経路から始まる可能性があるため、すべてのフィッシング攻撃を単一のWebセキュリティ製品だけで防ぐことはできません。CDNetworksは、多層防御の一部として攻撃への露出を減らし、認証情報が窃取された後に攻撃者が実行できる行動を制限する役割を果たします。
CDNetworks Enterprise Secure Accessは、企業アプリケーションへのアクセスにゼロトラストの原則を適用します。ユーザーのアイデンティティ、デバイスのセキュリティ状態、ユーザー行動、脅威インテリジェンスを評価し、リスクが検出された場合にはアクセス権限を動的に調整できます。これにより、窃取された認証情報だけを使って機密システムへ無制限にアクセスされる可能性を低減できます。
一般公開されているアプリケーションやAPIに対しては、CDNetworks Cloud Security 2.0がWAF、DDoS防御、Bot管理、APIセキュリティを統合して提供します。CDNetworks Bot Shieldは、行動分析、デバイスフィンガープリンティング、レート制限、設定可能なチャレンジを活用し、クレデンシャルスタッフィングやアカウント乗っ取りの試みなど、悪意のある自動化されたアクティビティを検出・軽減できます。
これらの機能を、メールセキュリティ、MFA、従業員のセキュリティ意識向上、強固なアイデンティティ管理と組み合わせることで、組織はフィッシングを起点として発生し得る、より広範な攻撃チェーンに対して、よりレジリエントな防御体制を構築できます。
