過去10年以上にわたり、ITプロフェッショナルを標的とした数々の電子メールの脅威について、皆さんの組織では間違いなく熟知していることでしょう。また、この種の脅威をしっかりと理解することにも慣れたことでしょう。
しかし、脅威の状況は常に進化しています。あなたの組織では、システムの文脈上、犯罪者をほとんど見ていないか、繰り返し見ている可能性が高いです。
この記事では、2022年に注意しなければならない最新の電子メールの脅威について、一目で分かるように説明します。
1.ランサムウェア
ランサムウェアは、電子メールを介して展開されることが多く、電子メールによる潜在的な脅威の1つとなっています。ランサムウェアは、被害者のデータを暗号化し、復号化キーと引き換えに支払いを要求することで、被害者のコンピュータシステムへのアクセスを遮断する行為です。攻撃者が割り当てた時間内に身代金を支払わない場合、攻撃が行われる前にシステム上にあったファイルを取り戻すことはできません。ほとんどのランサムウェアは、拡張子が .exe のファイルを暗号化しますが、他の種類のランサムウェアも特定のファイルタイプをターゲットにすることがあります。
a.ランサムウェア・アズ・ア・サービス（Ransomware-as-a-Service
ランサムウェア・アズ・ア・サービス(RaaS）とは、ランサムウェアやバンキング型トロイの木馬などのマルウェアツールをクラウド上で販売するサイバー犯罪者の動きである。
RaaSは、サイバー犯罪者が悪意のあるツールをサービスとして販売することを可能にします。つまり、購入した人は誰でも使用することができるのです。つまり、購入した人が知らないうちに、企業や個人に対して使用することができるのです。
ランサムウェアの最も一般的なタイプは、被害者のファイルのロックを解除するのと引き換えに支払いを要求するロックスクリーン・プログラムです。これらのプログラムは、リンクをクリックしたり、電子メールの添付ファイルを開いたりするだけで起動します。
b.暗号化ランサムウェアまたは暗号化装置
これらは暗号化されたファイルであり、復号化キーの助けを借りて復号化する必要があります。受信者が復号化キーを持っていない場合、これらのファイルにアクセスすることはできません。
c.スケアウェア
スケアウェアは、偽の警告を表示したり、コンピュータがマルウェアに感染していると主張したりして、お客様に金銭を支払わせようとするランサムウェアの一種です。
d.ロッカー
ロッカーは、お金を払ってロックを解除するまでファイルをロックしてしまうマルウェアの一種です。
e.ドックスウェアおよびリークウェア
この2つのランサムウェアは、ファイルを暗号化するのではなく、何らかの警告や通知として画面に表示し、多くの場合、身代金要求が添付されている類似のタイプです。
2.フィッシング
電子メールの脅威の中でも特に多いのが、電子メールを利用して個人情報を騙し取る「フィッシング」と呼ばれるインターネット詐欺です。フィッシングとは、正規の企業や銀行、あるいは政府機関から送られてきたように見せかけた偽のメールを送信することです。これらの詐欺メールは、リンクをクリックしたり、添付ファイルをダウンロードして、口座情報を見たり、支払いをするように被害者に指示します。その際、パスワードや社会保障番号などの貴重な個人情報が誤って流出する可能性があります。
a.パンデミックに関連する詐欺
これらの詐欺は、パンデミックと何らかの関連があり、悪意のあるリンクをクリックする代わりに、無料の製品やサービスを提供することで、恐怖や不安を利用しようとするものである可能性があります。
b.ブランドのなりすまし
この種のフィッシング詐欺は、ブランドや組織を模倣して、正規のものであると信じ込ませてしまうのです。クレジットカード番号や銀行口座情報などの個人情報を要求したり、リンクをクリックして悪質なファイルの添付ファイルを開くように要求したりします。
c.郵便物を題材にしたフィッシングメール
製品の発送に郵便局を利用している企業を狙うサイバー犯罪者から送られてくるフィッシングメール。これらのメールは、UPSやFedExから来たと思わせて、あなたの自宅の住所にアクセスさせようとします。このメールでは、その企業から届いた発送オーダーに問題があったとして、従業員に添付ファイルを開くか、リンクをたどって修正するよう求めています。
d.緊急」トーンまたは報酬を約束する電子メール
この種のメールは、銀行やクレジットカード会社などの重要な組織から来たように見せかけて送信されます。その内容は、「あなたの口座で不審な動きがあったので、この取引を許可したかどうか確認する必要があります」というものです。このようなメールは、一見すると正規の送信元であり、詐欺の隠れ蓑として利用される可能性があるため、特に危険です。
e.インボイスをテーマにしたメール
請求書のテンプレートを模倣し、受信者からパスワードなどの個人情報を盗み出すためのWebページへのリンクを含むメールは、請求書をテーマにしたフィッシング詐欺と呼ばれています。
3.ビジネスメール不正利用（BEC）攻撃
ビジネス・メール・コンプロマイズ(ビーイーシーとは、フィッシングの一種で、攻撃者が企業の業務用メールアドレスに連絡し、機密情報を取得しようとするものです。
BECは、なりすまし攻撃により、企業のCEOやその他の上級管理職を装い、従業員を騙してユーザー名やパスワードなどの機密データを提供させる。また、商用サーバーへのハッキングや通信の傍受など、他の方法で情報を取得することもあります。
a.CEOの不正
CEO詐欺は、攻撃者がCEOやその他の組織の上級社員になりすまし、会社の電子メールシステムから機密情報にアクセスすることです。
b.アカウントの不正利用
アカウント侵害は、フィッシングメールや従業員のコンピューターへのマルウェアなどの方法で、攻撃者が知らないうちに従業員のアカウントにアクセスすることで発生します。
c.データ盗難
データ盗難とは、攻撃者が物理的にアクセスすることなく、企業ネットワーク内の機密情報を持ち出すことを指します。データには、財務記録、顧客リスト、氏名や住所などの個人情報などが含まれることがあります。
d.弁護士のなりすまし
犯人が弁護士になりすまし、被害者の弁護士からと思われる不正なメールを送信することです。
4.ソーシャルエンジニアリング
ソーシャルエンジニアリングソーシャルエンジニアリングとは、電子メールによる脅迫の中で、被害者を欺くために用いられる非常に効果的な手口です。ソーシャルエンジニアリングとは、相手の感情や性格を利用して信頼を勝ち取る行為と定義されています。また、「ハニーポット」攻撃としても知られています。
この種の攻撃は、ハッカーがソーシャルエンジニアリングとなりすましメールを組み合わせてターゲットを騙し、悪意のあるリンクをクリックさせたり、添付ファイルを開かせたりして、ウイルスやその他のマルウェアに感染させるものである。この種の攻撃の最も一般的な例は、スピアフィッシングメールで、偽の、しかし説得力のあるメールアドレスを使い、あたかも信頼できる送信元からのメールであるかのように見せかけるものです。
これらの攻撃は、機密情報の窃取や企業のインフラへの被害を引き起こす可能性があるため、企業はこれらの攻撃とその仕組みについて知っておく必要があります。
a.ベイト（餌）付け
ベイト行為とは、隠されたメッセージを含むメールを送信し、ユーザーをおびき寄せてクリックさせることです。メッセージは、リンクであったり、実際のコンテンツであったりして、受信者をだまして開かせ、最終的に自分についての情報を開示させる。
b.スケアウェア
スケアウェアは、メールに記載されたリンクをクリックすると、お使いのコンピュータや機器に何か問題があるように思わせて騙すという点で、餌と同じです。コンピュータや機器にウイルスやマルウェアが存在しないにもかかわらず、偽の警告を送り、それをクリックすると、機器にマルウェアがダウンロードされるという仕組みになっています。
c.プレテクシング
これは、攻撃者が他人になりすましてメールを送り、受信者をだまして個人情報や機密情報を開示させるというものです。
d.ディープフェイク
ディープフェイクとは、人物のリアルな映像を生成するAIソフトを使用して作成された映像のことです。脅迫や政治的影響力などの操作に利用されることがある。
5.エクスプロイトベースの攻撃
エクスプロイト型攻撃とは、マルウェアのダウンロード、スパムの送信、認証情報の窃取などのタスクを実行するように設定できる電子メールの脅威のことです。これらの攻撃は、ハッカーが特定のターゲットのコンピュータやネットワークにアクセスするために使用されることがよくあります。
エクスプロイトとは、攻撃者がアカウントやネットワークにアクセスするためのプロセスを誘導するコードのことです。エクスプロイト・ベースの電子メール攻撃を実行するには、攻撃者は、標的のシステム上のソフトウェアにパッチが適用されていない脆弱性を見つける必要があります。これは、リリース済みでターゲット・システムにインストールされていないセキュリティ・パッチを探すことで実現できます。
エクスプロイトが見つかると、ワームやウイルスが起動し、接続されているすべてのコンピュータに感染する。ワームはその後、電子メールネットワークを介して自身のコピーを送り返し、接続されているすべてのコンピュータに到達するまで、これらのコンピュータを通じて伝播していきます。
a.ゼロデイエクスプロイト
ゼロデイ・エクスプロイトとは、脆弱性のパッチが適用される前に発見され、悪用された攻撃のことです。攻撃者はこの脆弱性を利用して、ユーザーの知らない間にターゲットのコンピュータにアクセスする。
b.ブラウザーエクスプロイトキット
ブラウザーエクスプロイトキットは、悪意のある広告を使用してマルウェアを含むファイルをダウンロードさせることで、ブラウザーの脆弱性を利用するソフトウェアの一部です。これらのファイルは、電子メールやその他の手段で配布されることがあります。
c.ファイルフォーマットのエクスプロイト
ファイル形式のエクスプロイトは、Microsoft Word、Excel、PowerPointなどのアプリケーションで使用されているファイル形式を利用することで動作します。これらのエクスプロイトによって、ハッカーはファイルを修正し、機密情報へのアクセスを可能にしたり、アプリケーション自体を制御することもできます。
d.マン・イン・ザ・ミドル(MITM)
MITM（Man in the Middle）攻撃とは、2台のコンピュータ間の通信が意図した宛先に到達する前に何者かが傍受し、改ざんすることで発生する電子メールの脅威のことです。この種の攻撃は、個人のコンピューター・ネットワークにアクセスしたハッカーや、スパイ活動やテロ行為など国家安全保障上の理由から通信を監視している政府機関によって行われることがあります。
メールMITM攻撃を制御できるのは MTA-STSは、SMTPサーバーの通信を保護するための画期的な認証プロトコルです。
PowerDMARCで2022年の高度な電子メール脅威を先取りする
PowerDMARCによるDMARCベースの電子メールセキュリティサービスは、高度な電子メールの脅威に対するA-Z保護を提供します。不審なメールトラフィックを特定し、ネットワークへの侵入を防ぎ、攻撃元を特定します。
私たちのDMARCは、悪意のあるメールが受信箱に到達する前に、その発信元で検知し、フィルターを通過する前にブロックします。
メールセキュリティソリューションは、最新のテクノロジーで構築されており、最高レベルの保護を保証します。 DMARCトライアル.
- 納税シーズンに増加する税金詐欺と国税庁の電子メールによるなりすまし攻撃- 2024年5月2日
- 暗号詐欺に対抗するための電子メール安全入門- 2024年4月30日
- ビジネスに最適なDMARCソリューション・プロバイダーを見つけるには？- 2024年4月25日