フィッシング

フィッシングとは何ですか？

フィッシングはソーシャルエンジニアリングの一種で、攻撃者が偽装したメッセージを送りつけ、受信者に機密情報を明かさせたり、悪意のあるリンクをクリックさせたり、攻撃者に有利な行動を取らせたりする手口です。フィッシングのキャンペーンは、無差別に送りつけるスパムから、同僚、取引先、信頼されたブランドになりすます高度に標的を絞った攻撃まで多岐にわたります。フィッシングが成功すると、認証情報の窃取、金銭的損失、社内システムの侵害につながるおそれがあります。

フィッシングは、人間の信頼と技術的な抜け穴を悪用します。攻撃者は正当な送信者の見た目や口調をまねた、もっともらしいメールを作り込み、緊急性、権威、好奇心を利用して行動を促します。メールはどこでも使われているうえに比較的容易になりすましできるため、依然としてフィッシングの主要な侵入経路となっています。

フィッシングの仕組み

フィッシングのキャンペーンは、通常、偵察、メッセージの作成、配信、悪用という一連の流れをたどります。攻撃者は公開情報から標的を収集したり、ソーシャルプロフィールを調べて背景情報を集めたり、ダークウェブの闇市場でリストを購入したりします。こうした情報をもとに、関連性が高く時宜を得たように見えるメッセージを作成します。

• 正当に見せかけるための、なりすました送信元アドレスや類似ドメイン
• 認証情報を盗み取るページやドライブバイダウンロードへ誘導する悪意のあるリンク
• 開いた時に実行されるマルウェアやマクロを含む添付ファイル
• コンテンツのホスティングやメール送信に悪用された、侵害済みの第三者サービス

高度なキャンペーンでは複数段階の流れが使われます。まず有効なアドレスを確認する偵察メールを送り、次に信頼を築くフォローアップを行い、最後に機密データを要求したり不正な送金を仕掛けたりします。

よくある手口と標的

フィッシングの標的は攻撃者の動機によって異なります。大量のマーケティング型フィッシングは量と機会的な詐欺を狙う一方、標的型攻撃は価値の高い個人や業務プロセスに焦点を当てます。

• 特定の人物を個別化した内容で狙うスピアフィッシング
• 経営幹部や取引先になりすまして電信送金を要求するビジネスメール詐欺
• 本物のログイン画面をまねた認証情報詐取ページ
• リンクフィルタリングを回避するためにQRコードを使うクイッシング
• 信頼された取引先を侵害してその顧客に到達するサプライチェーン攻撃

標的には、経理、人事、IT管理者、カスタマーサービスの各チームのほか、支払いを承認したり、機微な記録にアクセスしたり、アカウント設定を変更したりできる役割の担当者が含まれることが多くあります。

検知と防止の戦略

フィッシングへの対策には、技術的な管理策、利用者への教育、継続的な監視を組み合わせた多層的なアプローチが必要です。

• SPF、DKIM、DMARC を公開し適用して、なりすましの成功を減らす
• 多要素認証を利用し、認証情報が盗まれた場合の被害を抑える
• ゲートウェイと受信トレイの両方でURLと添付ファイルのスキャンを実施する
• 危険な兆候を見分け、要求を別経路で確認できるよう利用者を訓練する
• 認可済み送信者の一覧を維持し、類似ドメインを監視する
• 迅速なインシデント対応と、不正サイトの自動テイクダウン手続きを整える

定期的なフィッシング訓練とレポートの仕組みは、被害の度合いを測り、利用者の耐性を時間をかけて高めるのに役立ちます。

フィッシングとDMARCeye

DMARCeyeは認証データとメールボックスプロバイダーからのフィードバックを集約し、自社ドメインを狙うフィッシング活動を明らかにします。SPF、DKIM、DMARCの結果を送信元のIPやドメインと突き合わせることで、DMARCeyeは認可されていない送信者、類似ドメイン、リスクの高いトラフィックパターンを浮かび上がらせます。

さらに、プロバイダーをまたいだフィッシングの傾向を可視化し、DMARCの適用を強化する、DKIM鍵の問題を修正する、危険なそっくりドメインを登録するなど、隙を塞ぐための推奨事項を提示します。こうした知見により、組織はフィッシングの成功を減らし、顧客、従業員、パートナーを守ることができます。

ご自身のドメインの保護状況が気になりますか？無料でDMARCをチェックしましょう：

DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。

DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。