マルウェア付きなりすましメールにDMARCは有効か?最新の攻撃事例と対策を徹底解説

現在、世界中で毎日何十億通もの悪意のあるメールやフィッシングメールが送信されていると推定されています。これらのメールは、偽サイトへの誘導、マルウェアの添付、あるいは一見合法的に見える巧妙な詐欺の一環として送られてきます。近年のパンデミックをきっかけに世界中でテレワーク(在宅勤務)が普及して以降、こうしたメールの頻度と件数は大幅に増加しています。

本記事では、最新のマルウェア攻撃ニュースをご紹介するとともに、なりすましメール対策の鍵となるDMARC(Domain-based Message Authentication, Reporting & Conformance)について詳しく解説します。

悪意あるメールに関する最新ニュース

エネルギー供給企業を狙うパスワード窃取マルウェア

セキュリティ企業Intezerが発表したレポートによると、1年以上にわたり活動を続けるフィッシングキャンペーンが確認されています。このキャンペーンでは、正規企業そっくりに作成されたメールを送りつけ、パスワードを盗み出そうとします。メールは極めて精巧に作られ、入念な下調べに基づいているため、受信者は正規の企業とやり取りしていると信じ込んでしまうケースが後を絶ちません。

レポートによると、主な標的は膨大な顧客データベースを保有するエネルギー、石油、ガス関連企業です。攻撃の第一段階として、認証情報などの機密情報の窃取が行われます。同様の手口は、特にアメリカ、UAE(アラブ首長国連邦)、ドイツ、韓国などを中心に、テクノロジー業界や製造業界でも確認されています。

マルウェア感染メールには、詳細資料が記載されたPDFファイルのように見える添付ファイルが含まれていますが、実際にはIMG、ISO、CAB形式のファイルであり、開くとユーザーをマルウェアへと誘導します。セキュリティ企業の調査レポートでは、自社ドメイン以外から届いたメールを開く際には十分注意し、不審なファイルやリンクは決してクリックしないよう警告しています。

Microsoftが警告する「偽コールセンター」経由のマルウェア拡散手口

Microsoftは最近、「サブスクリプションを解約したい」「賞品を受け取りたい」といった状況を作り出し、メールに記載された電話番号へ架電させる偽メールについて警告を発しました。ユーザーが指定の番号に電話をかけると、応答したオペレーターが正規のファイルに見せかけたマルウェアをダウンロードさせるウェブサイトへと誘導します。

こうした手口で使用されるマルウェアの一つがBazarLoaderです。BazarLoaderに感染すると、ハッカーがWindowsホストコンピュータへのバックドアアクセスを確立できるようになります。接続が確立されると、攻撃者はユーザーのPCにさらなるマルウェアを送り込み、認証情報や身分証明書類などの重要な情報を盗み取ります。

Spectra Logic ― ランサムウェアに身代金を払わなかった企業の事例

もう一つ注目すべき事例がSpectra Logicのケースです。同社のIT部門は攻撃を検知すると即座にサーバールームの電源を手動で遮断し、インフラ全体を停止。その後FBIに通報し、捜査チームの支援のもと、賢明にも事前に作成していたオフラインバックアップから全システムの復元を行いました。復旧には数週間を要しましたが、この攻撃はコロナ禍で在宅勤務中だった従業員宛てのフィッシングメールが入口となったものです。

同様の被害は枚挙にいとまがありません。今年新たに出現したPrometheusランサムウェアは、これまでに30社以上を攻撃したと報告されています。ほかにもREvilやThanosなど危険性の高いランサムウェアが存在しますが、新たなセキュリティ対策が整備されることで、攻撃者たちが悪意ある目的を達成することは次第に困難になっていくでしょう。

DMARC(Domain-based Message Authentication, Reporting & Conformance)とは?

悪意のあるメールが見分けにくい最大の理由は、ハッカーが「差出人(FROM)」欄の送信者情報を偽装し、ユーザーが信頼する人物名に書き換えている点にあります。実際、サイバー犯罪者が差出人名を同僚や上司に偽装する事例も確認されており、その場合メールは疑われることなく開封されてしまいます。結果として、認証情報の窃取、ランサムウェア感染、マルウェア拡散など、さらなるサイバー攻撃へと発展しかねません。

そこで有効なのがDMARCです。DMARCは「Domain-based Message Authentication, Reporting & Conformance」の略称で、第三者が貴社ドメインを名乗ってメールを送信することを防ぐメール認証プロトコルです。許可された送信者だけがメールを送れるようにし、それ以外のメールはスパムとして扱われます。Valimailの分析によれば、DMARCを強制運用したドメインでは、なりすましメールが排除され、不審なメールの割合が0.4%まで低下したという結果も報告されています。

ValimailのCEOであるAlexander García-Tobar氏は、米国でプライバシー関連法が施行されている現状において、同地域でビジネスを行うすべての企業にとってDMARCポリシーの導入は不可欠であると述べています。

DMARCは、SPF(Sender Policy Framework)およびDKIM(DomainKeys Identified Mail)と連携してメールの真正性を判定し、次の3つの基本ポリシーで動作します。

• 監視(p=none):メールトラフィックを監視するだけで、具体的なアクションは行いません。
• 隔離(p=quarantine):認証に失敗した不正なメールをすべてスパムフォルダへ振り分けます。
• 拒否(p=reject):不正なメールが受信者に配信されないよう完全にブロックします。

まとめ:マルウェア付きなりすましメールに対するDMARCの効果

DMARCは、テレワーク環境を導入しているすべての組織が採用すべき最良のソリューションと言えます。悪意のあるメールは今後もなくなるどころか、さらに増加していくでしょう。「無料特典」を謳う不審なメールは開かず、見覚えのない組織からのメールは削除することが基本です。DMARCを導入すれば、組織のネットワークにさらなる防御層と安心感をもたらします。最新のセキュリティ情報は、Facebook、Instagram、YouTubeでも配信していますので、ぜひフォローしてください。