ベイティング（餌付け攻撃）とは？ネットワークセキュリティにおける脅威の仕組みと対策

ベイティング（餌付け攻撃）とは？

ベイティング（Baiting：餌付け）とは、ソーシャルエンジニアリング攻撃の一種です。攻撃者は「無料の映画ダウンロード」「高額な賞品」など、被害者の欲求を刺激する魅力的なおとり（餌）を用意し、それに食いついたユーザーから個人情報を盗み出したり、マルウェアに感染させたりします。

この攻撃の恐ろしさは、システムの技術的な脆弱性ではなく、人間の心理――好奇心、貪欲さ、恐怖心――を悪用する点にあります。物理的な媒体（USBメモリなど）を使ってマルウェアを配布することもあるため、最も忌み嫌われるマルウェア配布手法の一つとされています。

ベイティング攻撃の仕組み

典型的なベイティング攻撃は、次のような流れで実行されます。

1. おとりの設置：攻撃者は、マルウェアに感染したUSBメモリなどを、オフィスのトイレ、エレベーター、駐車場など目につきやすい場所にわざと放置します。
2. 被害者の誘引：拾った人は中身が気になり、自分のPCや会社の端末に挿してしまいます。
3. 感染の実行：USBメモリ内のマルウェアが自動実行されて端末に侵入し、ログイン情報や機密データが盗み出されます。

オンライン上では、悪意のあるWebサイトや感染したアプリケーション、偽広告などを通じて、ユーザーを不正なサイトへ誘導したり、マルウェアをダウンロードさせたりする手口が使われます。

フィッシングとの違いは？

ベイティングは、フィッシングの「親戚」とも言える攻撃手法です。どちらもユーザーを騙してログイン情報などの機密情報を入力させるという点で原理は同じですが、アプローチの方法が異なります。

• フィッシング：偽のメールやWebサイトを使い、「銀行からの緊急警告」など不安を煽って情報を入力させる。
• ベイティング：無料コンテンツや特典など「欲しいもの」で誘惑し、ユーザーに自発的にダウンロードや入力をさせる。

つまり、フィッシングが「恐怖」を利用するのに対し、ベイティングは「貪欲さ」と「好奇心」を突く攻撃だと言えます。

実際の攻撃例

感染したUSBメモリを放置する

最も典型的な例は、マルウェア感染したUSBメモリを駐車場や建物のロビーなどに放置する手口です。「落とし物」に見えるため、拾った人が業務用PCに挿すと、そこから社内ネットワーク全体へ感染が拡大する危険性があります。

無料ダウンロード・ストリーミングサイト

P2Pファイル共有サイトなどでは、話題の新作映画や人気アーティストの楽曲が「無料で視聴・ダウンロードできる」と謳われています。しかし実際には、ファイルと一緒にマルウェアがダウンロードされるケースが少なくありません。

プリテクスティングなど、関連する攻撃手法

ベイティングと並んで知られる手口に「プリテクスティング（Pretexting）」があります。これは「人間版フィッシング」とも呼ばれ、攻撃者が信頼できる同僚や上司、権威ある人物になりすまして信頼関係を築き、そこから情報を引き出す攻撃です。ベイティングが「物」や「特典」で釣るのに対し、プリテクスティングは「信頼」という嘘の前提（プレテキスト）で釣る点が特徴です。

ベイティングと個人情報窃取（なりすまし被害）

ベイティングで盗まれた情報は、なりすまし（ID窃盗）に悪用されることがあります。なりすまし被害は、主に次の4つのタイプに分類されます。

• 金融型：クレジットカード情報や銀行口座を不正利用される。
• 医療型：他人の健康保険情報を使って医療サービスを受ける。
• 犯罪型：犯罪の実行時に他人の身分証を使用する。
• 児童型：子どもの個人情報を悪用する（長期間気づかれにくい）。

過去の調査（2006年）によれば、なりすまし犯が連邦当局に逮捕される確率は約700分の1（約0.14%）しかないとされています。つまり、犯人が裁かれない可能性は非常に高く、「被害に遭わないこと」が何より重要なのです。

ベイティング攻撃への対処法・予防策

• 見知らぬUSBメモリを挿さない：道端やオフィスで拾った記憶媒体は、絶対に自分のPCに接続しない。
• 「無料・限定」に警戒する：ありえないほどお得なオファーは、詐欺や攻撃の可能性が高い。
• 公式サイトから入手する：ソフトやコンテンツは、必ず公式・信頼できる提供元からダウンロードする。
• セキュリティソフトを最新に保つ：マルウェアの検知・ブロックに役立つ。
• 従業員教育を実施する：企業はソーシャルエンジニアリング攻撃に関する研修を定期的に行うべき。

日常語としての「ベイティング」

セキュリティ分野以外でも「baiting（ベイティング）」という言葉は使われます。インターネット上では、議論を煽ったり怒らせたりすることを目的とした挑発的な投稿を「フレームベイト（炎上釣り）」と呼びます。また日常会話においては、相手をわざと苛立たせて怒らせる行為全般を指すこともあります。こうした行為に対しては、反応せず無視することが基本的な対処法です。

まとめ

ベイティングは、人間の欲望と好奇心を突く、シンプルかつ効果的な攻撃手法です。技術的な対策だけでなく、「怪しいおとりには食いつかない」という意識を持つことが最大の防御になります。少しでも違和感を覚えたら、ダウンロードや接続を控え、慎重に行動しましょう。