スピアフィッシングとは？標的型メール詐欺の仕組みと見分け方・対策を徹底解説

インターネットセキュリティに詳しい方なら、「フィッシング」という言葉を聞いたことがあるでしょう。銀行やMicrosoftを装い、「パスワードを送ってください」と要求してくるメールを一度は受け取ったことがあるはずです。そのような要求には絶対に応じてはいけないことは、ご存じの通りです。

しかし、この手口にはさらに高度なバージョンが存在します。それがスピアフィッシング（標的型攻撃メール）です。これは、特定の個人を対象に、綿密な下調べとパーソナライズを施したフィッシング詐欺を仕掛ける手法です。

ベテランのネットユーザーでさえ騙されてしまうことがあるのがスピアフィッシングです。ここでは、その仕組みと、身を守るための具体的な方法を解説します。

スピアフィッシングの仕組み

スピアフィッシングは、よく知られたパターンに沿って進行します。詐欺師はまず、ターゲットとなるあなたについて調査し、勤務先の会社、同僚、現在取り組んでいるプロジェクトなどを把握します。

次に、知り合いから届いたように見えるメールが送られてきます。たとえば、あなたが進めているプロジェクトや対応中の課題に言及していたり、今後のイベントや共通の知り合いに触れていたりします。メールにはファイルへのリンクが含まれ、そのダウンロードを指示されます。

多くの場合、ファイルはDropboxやGoogle Driveなどのサービスでホストされています。ファイルの掲載ページにアクセスすると、認証情報の入力を求められます。そのログインページは、本物のGoogleなどのページとそっくりに作られています。

しかしこのページは、実際には詐欺師が運営しているものです。ユーザー名とパスワードを入力すると、ログイン処理は行われず、その情報がそのまま詐欺師へ送信されてしまいます。さらに厄介なことに、これは二要素認証（2FA）でも機能してしまうことがあります。認証コードを入力すると、そのコードまで詐欺師の手に渡るのです。

こうして詐欺師は、Googleアカウントなど重要なアカウントの認証情報を手に入れます。それを足がかりに、他のアカウントにもアクセスされてしまう恐れがあります。あなたのセキュリティは完全に侵害されてしまうのです。

スピアフィッシャーはどうやってメールを本物らしく見せているのか

通常のフィッシングメールは、ポイントさえ押さえていれば見分けるのは比較的簡単です。しかし、大量に一斉送信される一般的なフィッシングメールとは異なり、スピアフィッシング攻撃はあなた個人を標的にしたものです。詐欺師たちは、メールの説得力を高めるためにさまざまなテクニックを駆使します。

1. よく似たドメインを購入する

よく使われる手口の一つは、偽装したい本物のドメインに酷似したドメインを購入することです。

たとえば、makeuseof.comからのメールを偽装したい場合、詐欺師は「rnakeuseof.com」のようなドメインを購入するかもしれません。「r」と「n」が並ぶと、流し読みした際には「m」に見えてしまうのです。bob@rnakeuseof.comからメッセージが届いても、本物だと思い込んでしまう可能性は十分にあります。

2. メールスプーフィングを使う

また、詐欺師はメールスプーフィングによって、差出人を偽装したメールを送りつけることもあります。

メールの文章は丁寧でプロフェッショナルに書かれており、スペルミスや文法ミスは一切ありません。さらに詐欺師は、メールに緊急性や重要性を持たせる演出にも非常に狡猾です。上司や会社のCEOなど、疑うことをためらってしまう相手になりすますケースもあるでしょう。

3. ターゲットの状況を綿密に調査する

さらに、同僚が出張で不在になる時期を事前に調べ上げることさえあります。そして、その同僚になりすましてメールを送ってきます。直接会って話す機会がないと分かっているからこそ、バレにくいと考えているのです。詐欺師があなたの会社に関する情報を収集し、それを悪用する手口は実に多岐にわたります。

スピアフィッシングの標的になりやすい人々

スピアフィッシングは多くの下調べを必要とする標的型攻撃であるため、詐欺師はターゲットを慎重に選びます。フィッシャーが狙うのは、基幹システムへのアクセス権を持つ企業の従業員や、高額な資産を保有する個人、大きな資金にアクセスできる立場にある人物です。

スピアフィッシング攻撃のリスクが最も高いのは、一般の企業従業員や、自宅でパソコンを使用している一般人です。一方、経営層やIT部門など企業の要職に就く人々は、高価値ターゲットを狙うサイバー攻撃「ウェアリング（Whaling）」のリスクが高まります。

スピアフィッシングから身を守る方法

スピアフィッシング攻撃は非常に巧妙化しているため、常に注意が必要です。信頼できる友人や同僚からの、無害に思えるメッセージさえ、実はフィッシング攻撃だったという可能性もあるのです。

幸い、被災の可能性を減らすために実践できる対策があります。

• 差出人アドレスを必ず複数回確認する： メールを受信したら、差出人アドレスが偽造・改ざんされていないか注意深くチェックしましょう。署名や会社情報などが含まれた、いつものメールに見えても、それが本物である保証はありません。
• 過度な緊急性を求める依頼に警戒する： 差出人が依頼を極めて緊急であるかのように演出してきたら要注意です。たとえば、社内では普段ネットワークドライブでファイル共有をしているのに、急にDropboxからファイルをダウンロードするよう求められたら、それは何かがおかしいサインです。
• 不審な依頼は電話で確認する： フィッシングを防ぐ最善の方法は、電話をかけて本人と直接話すことです。依頼が本物なら確認は1分もかかりません。偽物なら、深刻な被害を未然に回避できます。
• メール内のファイルリンクに注意する： ExcelやWordファイルなど、一見安全そうに思えるファイルにもマルウェアが隠れていることがあります。リンク先のファイルでマクロの有効化を求められた場合は特に警戒してください。マクロはデバイスへマルウェアを感染させる常套手段だからです。

巧妙化するスピアフィッシング攻撃に注意を

スピアフィッシングは、従来のフィッシング攻撃をはるかに高度化させた手法です。綿密な調査をもとに特定の個人を標的とし、その人の知り合いになりすましたメールを送りつけます。

これらのメールは非常に説得力が高く、受信者にマルウェア入りのファイルのダウンロードを指示させることで、ターゲットのメールアカウントやその他のアカウントへのアクセスを奪おうとします。

どれほど本物らしく見えても、アカウントを乗っ取られる危険性のあるメールには十分に注意してください。あわせて、電話による詐欺「ビッシング（Vishing）」やSMSを使った「スマッシング（Smishing）」など、他のフィッシング手法についても学んでおくことをおすすめします。