フィッシングより危険？「ホエーリング（捕鯨）攻撃」の仕組みと対策を徹底解説

「フィッシング詐欺」という言葉はよく耳にしますが、そのさらに高度な手口である「ホエーリング（Whaling／捕鯨）攻撃」をご存じでしょうか。ホエーリングはフィッシングよりもはるかに深刻な被害をもたらす可能性があるため、あらかじめ知識を備えておくことが重要です。

本記事では、ホエーリング攻撃の正体と、私たちへの影響について詳しく見ていきます。

ホエーリング攻撃とは？

「ホエーリング」と「フィッシング」の違い

ホエーリングは、それ自体が特別に高度な技術というわけではありません。基本的には、より複雑化したフィッシング詐欺の一種です。しかし、その背後にある綿密な準備こそが、ユーザーにとって壊滅的な被害をもたらしうる要因となっています。

ホエーリングは、通常のフィッシングが抱える弱点を洗練させ、ハッカーの意図どおりに行動するよう人々を騙す手法です。従来のフィッシングの最大の問題点は、その有効性が低下していることでした。一般の人々がフィッシング攻撃を見抜く力をつけた結果、かつてほどの効果は期待できなくなっています。

そのため、ハッカーたちは人を騙すためにさらに巧妙な手段へとエスカレートせざるを得なくなりました。「友人や家族、同僚からの連絡だから安心」という信頼を逆手に取り、ハッカーはホエーリングによって人々を詐欺に引っ掛けるのです。

ホエーリングとは、ハッカーが企業の幹部など高位の立場にある人物をデジタル上で標的にする攻撃です。通常、ハッカーはまず対象人物に関する情報を収集し、相手を深く分析します。さらに企業のネットワークへのアクセスを得て、会社の運営体制を調査することもあります。

収集した情報の使い道

幹部に関する必要な情報をすべて集めると、ハッカーはその人物のアカウントに侵入し、メールやメッセージサービスを乗っ取ります。そこから、その幹部の部下にあたる従業員へメッセージを送り、詐欺行為を実行に移すのです。

もしハッカーが企業のネットワークやアカウントに侵入できなかった場合は、「なりすまし」を試みることがあります。この戦術では、なりすまし対象者のメールアドレスによく似たアドレスを作成し、そのアドレスから従業員にメールを送信します。

この方法は、迷惑メールフィルターに引っかかったり、会社がホワイトリスト方式を採用している場合は完全にブロックされたりするリスクが高くなりますが、それでも成功するケースはあります。

ハッカーはホエーリングで何を得るのか

もちろん、ハッカーがこれだけの手間をかけて攻撃を行うのは、見返りを期待してのことです。主な目的は、幹部になりすまして従業員に送金を指示し、金銭を巻き上げることにあります。

下調べを入念に行ったハッカーは、幹部の話し方や文体まで再現し、攻撃の信憑性を高めます。そして「業務上の理由だ」と説明しながら、特定の口座への送金を求めるのです。

また、ハッカーはもう少し狡猾な手を使うこともあります。直接送金を頼むのは不審がられる可能性があるからです。場合によっては、一度の金銭よりも情報の方が価値が高いこともあり、ハッカーは転売などで利益を得られる機微なデータを要求することもあります。

数年前、The Guardian紙はあるホエーリング攻撃を報じました。人事担当者がCEOになりすましたハッカーからメールを受け取り、会社の給与情報を求められたのです。担当者はそのまま詳細な情報を返信してしまい、ハッカーはSnapchat社に勤務する全従業員の支払い情報を手に入れてしまいました。

ホエーリングによる被害はどれほど大きいのか

ここまでホエーリング攻撃の詳細を見てきましたが、実際にどれくらいの企業が被害に遭っているのでしょうか。企業はこうした攻撃をすぐに見破れるのでしょうか。それとも、ハッカーたちが企業の隙を突いて巨額の利益を得ているのでしょうか。

Forbesの報道によれば、2013年以降、8万社近くの企業から推計120億ドルがホエーリングによって失われています。さらにVaronisの調査では、2017年だけでホエーリングが200%増加しており、ハッカーたちが「大型のフィッシング」に乗り出す傾向を強めていることがわかります。

ホエーリングから身を守る方法

堅牢な社内セキュリティポリシーを整備する

理想を言えば、ホエーリング攻撃自体が発生しないことが一番です。優れた企業のセキュリティポリシーは、ハッカーを寄せつけない効果的な手段となります。

まず、ユーザーアカウントはハッキング攻撃を防げるだけの強度を持たせるべきです。強固なパスワードに加え、二要素認証などの不正アクセス対策を講じれば、ハッカーの侵入を防ぎやすくなります。

また、社内メールシステムにおいて、イントラネット外部から届くメールを警戒対象として設定することも有効です。どんなに説得力のある偽装メールでも、ブラックリストに引っかかってフラグを立てられれば、被害が出る前に食い止められます。

データと送金プロセスを保護する

理想的には、データ送信や送金のプロセスは、情報が社外に漏れないよう十分に安全であるべきです。ここをおろそかにすると、不満を抱えた従業員が横流しするといった内部リスクも生じかねません。

データとお金は常に最も安全な方法で扱いましょう。そうすれば、仮に誰かがホエーリング攻撃に騙されたとしても、ハッカーが報酬を手にする前にシステムが取引を検知してくれるはずです。

日頃から警戒心を怠らない

他の対策がすべて失敗し、ハッカーにホエーリング攻撃の標的とされた場合は、自分自身の注意深さが最後の砦になります。

ホエーリング攻撃者は、上位の立場から接触することであなたの心理的な抵抗感を崩そうとします。そうすることで、機微な情報を求められたとき、深く考えずに送ってしまう心理状態を作り出すのです。

もし普段やり取りのある上司が突然、現金や個人情報を求めてきたら、名前やメールアドレスに不審な点がないか必ず確認しましょう。何かおかしいと感じたら、メール以外の連絡手段で本人に確認を取るのが賢明です。

安全なメールサービスを利用する

ホエーリング攻撃は、ハッカーが攻撃に必要な十分な情報を収集できて初めて成立します。この情報へのアクセスを遮断すれば、ハッカーは企業に侵入するための道具を失うことになります。そのため、自分の使っているメールサービスがどれほど安全で、盗み見に対してどれだけの防御力があるのかを分析することが大切です。

どのサービスを選べばよいか迷ったときは、プライバシーを最優先する、暗号化対応のセキュアなメールプロバイダに注目しましょう。通信の保護を怠るメールプロバイダは、機微なデータの漏洩リスクをはらみ、それはそのままホエーリング攻撃の格好の材料になってしまうのです。

なりすまし被害から身を守るために

ホエーリングは、あらゆる面でフィッシングの「兄貴分」とも言える存在です。標的の規模から期待できる利益の大きさまで、ビジネスにとっても従業員にとっても重大な脅威となりえます。

ハッカーが狙う情報の種類をもっと詳しく知りたい方は、ハッカーが最も狙いやすい情報の種類をまとめたガイド記事もぜひ参考にしてください。