知っておきたい8種類のフィッシング攻撃の手口と対策

フィッシング攻撃は、今なお世界で最も深刻なサイバーセキュリティの脅威の一つです。

実際、セキュリティ企業Barracudaの調査によると、新型コロナウイルス関連のフィッシング攻撃は今年1月から3月にかけて667%も急増しました。さらに驚くべきことに、Intelの調査では、最大97%の人々がフィッシングメールを見分けられないという結果が出ています。

被害に遭わないためには、攻撃者がどのような手口で仕掛けてくるのかを知っておくことが重要です。ここでは、遭遇する可能性のある8種類のフィッシング攻撃について詳しく解説します。

1. メールフィッシング（Email Phishing）

最も典型的なのが、正規の企業になりすましたフィッシングメールです。「スプレー・アンド・プレイ（撒いて祈る）」と呼ばれる手法を用いる、最も単純なタイプの攻撃です。

特定の個人を狙うのではなく、不特定多数のユーザーに汎用的なメールを一斉送信し、油断した被害者がリンクをクリックしたり、ファイルをダウンロードしたり、メールの指示に従ったりすることを期待しています。

パーソナライズされていない場合が多く、「お客様各位」「会員の皆様へ」といった一般的な挨拶文が使われるのが特徴です。また、「緊急」などの言葉で焦りや不安を煽り、ユーザーにリンクをクリックさせようとします。

2. スピアフィッシング（Spear Phishing／標的型攻撃）

より高度で洗練された手口で、特定のグループや個人を狙い撃ちするタイプです。著名なハッカーが組織への侵入に使うことも多い手法です。

詐欺師は対象者の経歴や、日常的にやり取りする相手などを徹底的に調べ、極めて個人的なメッセージを作り上げます。そのため、受け取った側は違和感を持たずに騙されてしまうことが少なくありません。

対策としては、普段やり取りしている連絡先から届くメールと、送信元アドレスや文面の形式を必ず照合することです。たとえ知り合いからのメールに見えても、添付ファイルのダウンロードやリンクのクリック前に、電話などで本人確認をするのが安全です。

3. ホエーリング（Whaling）

これも高度な手口ですが、ターゲットは経営幹部、つまりマネージャーやCEOなどの要職にある人物に限定されます。

宛名に直接名前が書かれていることもあり、メッセージは召喚状や訴訟通知、あるいは「破産や解雇、法的費用を避けるために至急対応が必要」といった内容であることが多いです。

攻撃者は長時間をかけて対象者について綿密に調査し、資金や機密情報へのアクセス権限を持つ組織のキーパーソンを狙った専用メッセージを作成します。

ターゲットには本物そっくりのログインページへのリンクが送られ、アクセスコードやログイン情報を盗み取られます。また、「召喚状の続きを見るために」と添付ファイルのダウンロードを求める手口もあります。この添付ファイルにはマルウェアが仕込まれており、開いてしまうとコンピュータへの侵入を許してしまうのです。

4. ビッシング（Vishing／音声フィッシング）

ビッシング（Voice＋Phishing）は、メールではなく電話を使ってログイン情報や銀行口座情報を聞き出す手口です。

攻撃者は企業のスタッフやサービス会社のサポート担当者になりすまし、感情に訴えかけて銀行口座やクレジットカードの情報を渡そうとします。

内容は、税金の未納、懸賞の当選通知、あるいはパソコンの遠隔操作を求める偽テクニカルサポートなど様々です。録音メッセージや発信者番号の偽装を使い、海外からの電話を国内発信のように見せかけることで、電話の信憑性を高めようとすることもあります。

専門家は、ログイン情報、社会保障番号、銀行口座やクレジットカード情報などの機密情報を電話で伝えてはいけないと助言しています。一旦電話を切り、自分から銀行やサービス提供元にかけ直すのが鉄則です。

5. スミッシング（Smishing／SMSフィッシング）

スミッシング（SMS＋Phishing）は、ショートメッセージ（SMS）を使ったフィッシング全般を指します。攻撃者はテキストメッセージでリンクを送り、偽サイトへ誘導します。そこでクレジットカード番号などの機密情報の入力を求められ、入力した情報はハッカーに盗まれてしまいます。

「賞品が当選した」「情報を入力しないと特定サービスの料金が毎時課金され続ける」などと言われることもあります。基本ルールとして、見知らぬ番号からのSMSには返信しないこと。特に心当たりのない送信元からのリンクは絶対にクリックしないようにしましょう。

6. アングラーフィッシング（Angler Phishing）

比較的新しい手口で、ソーシャルメディアを利用して機密情報を引き出そうとします。詐欺師は、銀行などのサービスについてSNSに投稿している人を監視し、その企業のカスタマーサポート担当者になりすますのです。

例えば、入金の遅れや銀行の悪質なサービスについて投稿し、その投稿に銀行名が含まれていたとします。サイバー犯罪者はこの情報を使って銀行の関係者を装い、あなたに接触してきます。

そして「カスタマーサポート担当者と話すためにリンクをクリックしてください」と促され、クリックすると「本人確認のため」として個人情報を要求されます。

こうしたメッセージを受け取ったら、認証済みマークのある公式TwitterやInstagramアカウントなど、安全な窓口からカスタマーサポートに連絡するのが最善です。

7. CEO詐欺フィッシング（CEO Fraud Phishing／ビジネスメール詐欺）

これはホエーリングに似ていますが、さらに陰湿です。CEOやマネージャーを標的とする点は同じですが、目的はCEOから情報を盗むだけでなく、CEOになりすますことにあります。攻撃者はCEOを装い、同僚に対して銀行振込での送金や機密情報の即時送付をメールで指示します。

攻撃は通常、送金権限を持つ社内の人物――予算管理者、財務部門の担当者、機密情報にアクセスできる人――を狙います。メッセージは非常に緊急性が高い印象を与えるよう作られており、被害者が立ち止まって考える時間を与えません。

8. 検索エンジンフィッシング（Search Engine Phishing）

最新の手口の一つで、正規の検索エンジンを悪用します。攻撃者はお得なキャンペーン、無料プレゼント、商品割引、さらには偽の求人を掲載した偽サイトを作成し、SEO（検索エンジン最適化）技術を使って正規の検索結果に表示させます。

何かを検索すると、検索結果にこれらの偽サイトが混ざって表示されます。ユーザーはログインや機密情報の入力を求められ、入力した情報はサイバー犯罪者に盗まれてしまうのです。

中には、高度なテクニックを使って検索エンジンを操作し、自分のサイトへトラフィックを誘導するのに長けた攻撃者もいます。

情報を集め、常に警戒を怠らない

各攻撃の名称を暗記することよりも重要なのは、それぞれの攻撃手法、手段、そしてチャネルを理解することです。呼び名をすべて覚える必要はありませんが、メッセージがどのように作られ、攻撃者がどのチャネルを使って近づいてくるのかを知ることが大切です。

また、常に警戒心を持ち続けることも重要です。あなたの個人情報を騙し取ろうとする人が大勢いることを認識しましょう。あなたの会社が攻撃の標的になる可能性があり、犯罪者は常に組織への侵入経路を探っています。

こうした脅威が存在することを知ることは、あなたのコンピュータが攻撃者の侵入拠点になるのを防ぐ第一歩です。行動を起こす前に、メッセージの送信元を必ず再確認しましょう。

さらに、攻撃者は人々の恐怖や焦りを利用して思い通りに行動させようとすることがあることも理解しておきましょう。脅しに直面したときは、まず冷静になって考えることが大切です。プロモーションや無料プレゼントの詐欺を見分ける際には、昔からの格言が今も通用します。「良すぎる話は、たいてい嘘である」