スピアフィッシング（標的型攻撃メール）とは？その仕組みと対策を徹底解説

2016年1月12日、ウクライナの電力会社（プルイカルパッチャオブレネルゴ）に大規模なサイバー攻撃が仕掛けられ、約8万人の顧客が停電の影響を受けました。遠隔地からハッカーによって停電が引き起こされたことが、完全に記録され確認されたのは、これが世界で初めてのことでした。彼らハッカーは必ずしも最新鋭の設備や潤沢なリソースを持っているわけではありません。しかし、彼らはある一つの原則――「セキュリティシステムにおける最弱のリンクは、それを使う人間である」――を念頭に置き、あらゆる防御策に対峙する姿勢と才能を持っていたのです。

この攻撃の調査結果は、スピアフィッシング（標的型攻撃）による被害であるという結論に至りました。以前の記事でもこのテーマについて簡単に触れましたが、この種の攻撃に関する重要な情報をできるだけ詳しくお伝えする絶好のタイミングだと考えます。

スピアフィッシングとは何か？

スピアフィッシングの巧妙さは、攻撃を実行する前に、ターゲットとなる個人についての情報（生年月日、氏名、その他の関連情報）を収集することにあります。収集した情報は攻撃の中で活用され、「あなたのことを知っている」正当な組織から送られてきたものだと信じ込ませるために使われます。

スピアフィッシングが危険なのは、個人と組織の間の信頼関係を利用して目的を達成するためです。その目的は多くの場合、金銭的な価値のある重要な情報の取得ですが、必ずしもそうとは限りません。例えば、個人情報を盗むアイデンティティ盗難なども目的となり得ます。

FBIのウェブサイトでは、架空の例として、ハッカーが通信会社になりすまし、顧客に対して偽のページへのリンクを送りつけ、そこで生年月日や社会保障番号を入力させる手口を挙げています。これはまさに前述の手口の典型的な例と言えるでしょう。スピアフィッシングの犠牲者には、共通点があることも特徴です。同じ企業の顧客同士、同僚、または同学年の学生であるケースが多いのです。

スピアフィッシングと通常のフィッシングの違い

従来型の一般的なフィッシングは、大量のメールアドレス宛てに無差別にメールを送りつける手法です。ハッカーはいくつかの反応を期待しますが、ほとんどの人はこの手の攻撃には引っかかりません。一方、スピアフィッシングはその高度な仕組みゆえにはるかに成功率が高く、こうした不審なメールを安易に信用すべきではないと知っている人々でさえも、犠牲になる可能性があります。さらに一部のスピアフィッシング攻撃では、なりすました企業の公式アドレスまで偽装する（スプーフィングと呼ばれる手法）ため、極めて危険です。

賢いハッカーは、大規模なデータベース漏洩事件（2014年3月に米小売大手Target社が被った漏洩のような）で入手したメールアドレスのリストを、単なる悪戯の標的として見ていません。むしろ、そのリストを、企業への顧客の信頼を餌にして被害者を作るチャンスとして捉えているのです。邪悪でしょうか？　はい。悪質でしょうか？　間違いなく。しかし、巧妙でエレガントであることは確かです。

スピアフィッシングから身を守るには

スピアフィッシングと戦う上で最も重要なのは予防です。「どんな企業も、メールで個人情報を尋ねてくることはない」という原則のもとに行動しましょう。メール内に記載された電話番号には決してかけないでください。その番号は企業のものではなく、ハッカーが所有・運営している可能性があるからです。不審なフィッシングメールと思われるものを受け取った場合は、必ず自分で検索した企業の公式電話番号へ連絡しましょう。

また、友人や家族からのメールだった場合でも、返信ではなく直接電話で確認してください。そのアドレスがスプーフィングされている可能性があるからです。

他にもスピアフィッシングの被害を防ぐためのコツをお持ちでしたら、ぜひコメント欄でお聞かせください！