スピアフィッシングとは何かご存知ですか？インターネットを利用したことがある人なら知っているかもしれませんね。様々なフィッシング詐欺の中で最も一般的な攻撃方法はスピアフィッシングで、現在も活用されているのは 65%が利用しています。残念ながら、ほとんどの企業のフィッシング対策には弱点がある傾向があります。

スピアフィッシングとは何かわからない？そんなあなたにぴったりです。

スピアフィッシングとは、個人または組織を狙った標的型攻撃のことです。この方法は、電子メールを使用して、受信者が機密情報を明かすように説得します。被害者が知っていて信頼している人など、信頼できる送信元からのメールに見せかけます。

スピアフィッシング攻撃では、犯罪者はソーシャルエンジニアリングの技術を使用して攻撃を実行します。企業や従業員に関する情報を収集し、本物と見紛うようなメールを作成します。サイバー犯罪者は、より効果的にメッセージをカスタマイズするために、過去の侵害事件で得た従業員の機密データを使用することもあります。

スピアフィッシングは、個人情報の盗難や詐欺、知的財産やその他の機密データを盗むために利用されることがあります。

スピアフィッシングの仕組みとは？

スピアフィッシング攻撃は、様々な方法で行われる可能性があります。代表的な手法としては、以下のようなものがあります。

スピアフィッシャーによって、ターゲットにメールが送信されます。メール受信者は、悪意のあるリンクや添付ファイルにアクセスするよう促され、マシンをマルウェアに感染させたり、身代金を要求されたりすることがあります。
スピア型フィッシャーは、友人、同僚、上司など信頼できる人物を装って、ソーシャルメディアのアカウントやユーザー名、パスワードへのアクセスを求め、データを別の場所に流出させるために使用する情報を収集するものです。
スピアフィッシャーは、偽のウェブサイトにリンクしたメールを被害者に送り、暗証番号、ログイン情報、アクセスコードなどの個人情報や機密情報を入力させる。

スピアフィッシングは、従来のフィッシングよりも攻撃者の時間と労力が必要とされるため、より困難な攻撃となります。しかし、個人を特定し、組織内の誰か（場合によっては個人）を直接ターゲットにするため、より効果的でもあります。

拡大するスピアフィッシング攻撃の脅威

スピアフィッシングの検知の難しさ、リモートワークの普及、技術的なセキュリティの甘さなどから、世界中のサイバー犯罪者が選択する武器となっています。

最近のデータによると、スピアフィッシングは、人々や企業にとってますます深刻な危険性を増しています。

に行われた調査によると 2020年8月から10月にかけて行われたは、全世界のスピアフィッシングの試行の87%が、営業日、通常は平日に行われています。土日の攻撃は、全体のわずか13%に過ぎませんでした。

スピアフィッシングでは、被害者の銀行やAmazonなどの信頼できる企業からのメールに見せかけて、不用心な人にメールを送ることがあります。メッセージは、発送通知や取引の確認要求のように見え、有害なリンクをクリックしたり、重要な個人データを提供するように読者を誘惑します。

サイバー犯罪者は、この方法で企業もターゲットにしており、特定の企業の数人の従業員だけを狙うこともよくあります。このような消費者は、上司や他の会社の役員を装って、送金やパスワードの入力、会社の機密情報の漏洩を命じる説得力のあるメールを受け取ることがあります。

スピアフィッシングメールは、どちらの状況でも切迫感を伝えることが多い。つまり、被害者は、迅速な行動を取らなければ、最も深刻な影響を被るという考えを持つのです。

スピアフィッシングから身を守るために必要なことは？

DMARCによる電子メールの認証

電子メール認証の世界標準はDMARCである。DMARCを利用することで、送信者はメールの送信元が本人であることを確認することができます。これにより、今日の最も一般的なサイバー犯罪の2つであるスパムやスピアフィッシングを減らすことができる。近年、DMARCが導入され、その利点はGmail、Yahoo、その他多数の大手メールプロバイダーによって賞賛されている。

DMARCはどのようにスピアフィッシングを阻止するのか？

A DMARCポリシーのモードは、電子メールフィッシングやダイレクトドメインスプーフィングなど、さまざまなオンラインの脅威との戦いにおいて有用なツールとなり得ます。

DMARCは、電子メールの送信元を確認し、偽の電子メールの受信や開封を防止するのに役立ちます。しかし、実際には、このプロトコルに従った企業はごく一部であり、それを成功させている企業はさらに少ないのが現状です。

ドメイン所有者が安心して導入・監視できるようにするために、DMARCアナライザーを設定することが推奨されています。 DMARCアナライザー.DMARC Analyzerは、電子メールチャネルを完全に把握することができ、DMARCの主な利点となります。以前は、フィッシング攻撃が発生した後に初めて、企業はフィッシング攻撃について知ることができました。DMARCは、常にソースを検証し、監視することで、攻撃を未然に防ぐことを可能にします。また、DMARCのレポートにより、顧客に警告を発することができます。 DMARCレポート.

さらに、p=reject中にクライアントに送信する個別の送信メールに、特徴的なブランドロゴを追加することで、以下のようなメリットが得られます。 BIMI の視覚的な識別機能を利用することができます。

すべてのソフトウエアをアップデートする

悪意のあるソフトウェア（マルウェア）から身を守るには、OSやアプリケーションの最新のセキュリティ・アップデートをインストールすることが一番です。セキュリティパッチは、ソフトウェアの既知のセキュリティ上の欠陥を修正するものなので、常に更新しておく必要があります。

スピアフィッシングに関する従業員教育

スピアフィッシングの被害を未然に防ぐには、スピアフィッシングの特定と回避に関する従業員へのトレーニングが重要です。例えば、正規の電子メールと不正な電子メールの違いを教えることで、危険な兆候を発見することができます。また、不審なメールや電話を報告する方法も教えておくと、何か疑わしいと思ったときにどのような行動を取ればよいかが分かります。

パスワードの使用を最小限に抑える

パスワードは、スピアフィッシングの最初の攻撃でよく使われるため、できるだけ使わないようにすることが重要です。そのためには、多要素認証や、デバイスの種類や場所に応じてアクセスを制限することが有効です。

セキュリティを重視した企業文化の構築

機密データやリソースにアクセスしようとするスピアフィッシャーの試みを阻止するためには、従業員一人ひとりの日常業務にセキュリティを組み込むことが必要です。従業員には、疑わしい電子メールを報告し、外部からの異常な情報要求について質問するよう奨励する必要があります。どのような兆候に注意すべきかを知っている人が多ければ多いほど、組織としてフィッシングを完全に回避することができます。

まとめ

さて、スピアフィッシングとは何か、その仕組み、そして予防策についてご理解いただけたでしょうか。スピアフィッシングとは、簡単に言えば、オーダーメイドのフィッシングです。巧妙な手口でユーザーを騙し、情報を引き出そうとします。さらに危険なのは、無作為のスパム業者ではなく、あなたが知っていて信頼している人物から発信されているように見える点です。

このようなサイバー攻撃の被害に遭わないためには、不審なメッセージに注意することが一番です。機密事項や個人的なことを伝える前に、必ず送信元を確認することです。また、DMARCなどのツールでメールを認証してください。