フィッシングとスピアフィッシング

フィッシングとは、偽装したメール、メッセージ、ウェブサイトを使って標的をだまし、認証情報の開示、マルウェアのインストール、金銭の送金を行わせるソーシャルエンジニアリング攻撃です。

世界中のデータ侵害で、最も一般的な初期アクセスベクトルです。

効果的なフィッシングメールには、次の要素が含まれます。

• 偽装された、または見間違えやすい送信者アドレス
• 緊急性の強調（「アカウントが停止されます」）
• 認証情報を窃取するサイトへ誘導する悪意のあるリンク
• 信頼されている組織のブランドやロゴ
• 通常のセキュリティ判断をすり抜ける要求

フィッシングには次の種類があります。

• メールフィッシング — 多数の標的に送る大規模キャンペーンです
• スピアフィッシング — 特定の個人を対象とし、個別化された内容を使います
• ホエーリング — 役員（CEO、CFO）を標的にします
• ビッシング — 電話による音声フィッシングです
• スミッシング — SMSを利用したフィッシングです

スピアフィッシングは、標的について調査した情報を利用して信頼性を高めます。攻撃者はLinkedIn、企業のウェブサイト、ソーシャルメディアから情報を集め、実在する同僚、プロジェクト、イベントに言及した個別化メッセージを作成します。

BECは高度なスピアフィッシングの一種で、攻撃者は役員になりすまして不正な電信送金を承認させたり、機密データを開示させたりします。BEC攻撃により、世界中の組織が数十億ドルの損害を被っています。

攻撃者は次のものを利用します。

• 見間違えやすいドメイン（例：paypa1.com、microsoft-verify.net）
• レピュテーションフィルターを回避するために侵害した正規サーバー
• 最終的なアクセス先を隠すURL短縮サービスとリダイレクト
• ログインページを複製する認証情報窃取キット

メールに見られる警告サイン：

• 送信者アドレスと表示名が一致しない
• 予期しない緊急性の強調や不自然な要求
• リンクにカーソルを合わせたとき、移動先が表示テキストと一致しない
• 一般的すぎる挨拶（「お客様へ」）
• 認証情報、支払い、機密データの要求

スプーフィング対策の仕組み：

• SPF — ドメインのメール送信を許可するサーバーを指定します
• DKIM — ドメインから送信されたメールに暗号学的な署名を付けます
• DMARC — SPF/DKIMに失敗した場合の処理を定めるポリシーです（隔離／拒否）

DMARCを導入していない組織は簡単になりすまされます。

組織は従業員の意識をテストし、攻撃を見抜けるようユーザーを訓練するため、フィッシングシミュレーションを実施します。模擬フィッシングリンクをクリックした従業員には追加のトレーニングが行われます。シミュレーションプログラムにより、時間の経過とともにクリック率が測定可能な形で低下します。

フィッシングメールが報告された場合：

1. すべてのメールボックスで送信者とURLをブロックします
2. すべての受信者を特定します
3. 誰かがクリックしたか、認証情報を送信したかを確認します
4. 侵害されたアカウントを直ちにリセットします
5. 調査のためメールヘッダーを保存します

防御レイヤー：

• メールゲートウェイによるフィルタリング（添付ファイルをサンドボックスで検査します）
• DNSレピュテーションチェック
• ブラウザーのURLフィルタリングと警告ページ
• MFA — 認証情報を盗まれても被害を限定します
• フィッシング耐性のあるMFA（FIDO2／ハードウェアキー）

フィッシングは、偽装したメッセージを使って認証情報を盗んだり、マルウェアをインストールさせたりする、最も一般的な攻撃ベクトルです。スピアフィッシングは調査に基づいて攻撃を個別化します。SPF、DKIM、DMARCはメールのなりすましに対抗します。MFAとフィッシング耐性のある認証情報（FIDO2）により、フィッシングが成功しても被害を抑えられます。