捕鯨攻撃とは？

ホエール攻撃は CEO詐欺であり、サイバー犯罪者が企業を騙すために多用する手法である。ホエールフィッシング攻撃では、攻撃者は組織内の権限を持つ者や意思決定者、例えば上級幹部や高位職員を標的とする。これは強力な、極めて標的を絞ったフィッシングまたは スピアフィッシング 攻撃の一種であり、高価値ターゲット（HVT）を騙して企業情報・認証情報の提供、悪意あるリンクのクリック、悪意あるファイルの開封、送金の実行をさせることを目的としています。その目的は、機密データの窃取、重要システム（財務情報など）へのアクセス権の取得、または侵害された認証情報を悪用したさらなる悪意ある活動の展開にあります。フィッシング攻撃は依然として重大な脅威であり、 CISCOの調査によれば、2021年の調査対象企業の86% 企業が2021年の調査で少なくとも1人の従業員がフィッシング詐欺に引っかかったと報告しており、 フィッシング対策ワーキンググループ（APWG）は は2022年第1四半期だけで100万件以上のユニークなフィッシング攻撃を記録している。

捕鯨攻撃はどのように行われるのですか？

ホワイリングがどのように行われるかを理解するために、まずホワイリング攻撃、フィッシング、スピアフィッシングの違いを把握しておこう。

通常のフィッシングとは？

ソーシャルエンジニアリング、あるいは通常のフィッシングとは、個人を騙してログイン認証情報や金融情報などの機密情報を開示させる行為を指します。攻撃者は銀行や政府機関など信頼できる組織を装い、情報を要求するメールやメッセージ、あるいは偽のウェブサイトへのリンクを送信します。通常のフィッシング攻撃は、少数の人が騙されることを期待して、多くの個人や組織に一斉送信されることが一般的です。

捕鯨 vs フィッシング

• ターゲティング：通常のフィッシング攻撃は、特定の高位の個人をターゲットにするのではなく、幅広い対象者に向けて広く網を張ります。クジラ攻撃は、特に上級幹部や高官（「クジラ」または「大物」）をターゲットにします。
• 巧妙さ：通常のフィッシング攻撃は単純であることが多い。ターゲットの役割、責任、習慣などを入念に調査した上で、公式のロゴや言葉、一見正当なメールアドレスを使用することが多い。
• 狙われる情報通常のフィッシングは、ログイン認証や個人の財務情報を求めることが多い。Whalingは、企業秘密、機密文書、会社の財務口座やシステムへのアクセスなど、企業にとって価値の高い機密情報を狙います。
• 手口：通常のフィッシングは、一般的な脅しの手口を使うことがある。正規のウェブサイトをミラーリングした偽のウェブサイトを作成したり、ビジネスに関する緊急性を偽ったりするなど、より手の込んだ手口を使うこともある。
• 影響どのようなフィッシングも損害を与える可能性がありますが、ホエーリング攻撃が成功した場合、高レベルのアクセスや機密データが含まれるため、より壊滅的な打撃を受けることが多く、多額の金銭的損失や風評被害を引き起こす可能性があります。ホエーリング攻撃は、既存の個人の信頼性と権威を利用して被害者を欺くため、2倍成功し危険です。
• 攻撃方法：どちらも電子メールを使うことが多いが、捕鯨には標的を絞った電話やその他の通信手段も使われることがある。

捕鯨とスピアフィッシング

• また、スピアフィッシング攻撃は、組織内の特定の人物やグループに狙いを定め、不正なキャンペーンを展開する高度な標的型フィッシング攻撃です。
• ホエール・フィッシングは、一般的なスピア・フィッシングとは異なり、企業の最高幹部（「ホエール」）だけを主要なターゲットとして選び出す。

ホエーリングでは、攻撃者は上級役員に上司、CEO、CFOを装ってフィッシング・メールを送信するか、時には役員になりすまして下級社員を標的にする。このメールは、会社の資金を振り込ませるか、攻撃者が組織のシステムにアクセスするための会社の認証情報を要求する。

捕鯨攻撃の定義

Whaling（捕鯨）」という言葉は、CEOやCFOのような会社幹部や大物を意味する言葉として使われている。これらの人物は会社で高い地位にあるため、他の誰よりも機密情報にアクセスできる。そのため、彼らになりすましたり、彼らを騙したりすることは、企業のビジネスや評判に悪影響を及ぼし、潜在的な金銭的損失、データ漏洩、生産性の低下、さらには法的な影響につながる可能性があります。

捕鯨攻撃の事例

上に示した例では、財務チームのマネージャーであるジョンが、組織のCEOであるハリーから緊急の電信送金を開始するよう依頼する電子メールを受け取った。この場合、ジョンが別のチャネルを通じてその要求を確認するか、フィッシングの兆候に気づかなければ、彼は自分がアクセスできる資金を送金してしまうことになり、それによってホエーリング攻撃の餌食になってしまう。

ホエールアタックを阻止する方法：組織とデータの保護

このような攻撃をソーシャル・エンジニアリング戦術としてさらに効果的にするために、攻撃者はしばしば入念かつ詳細に下調べを行う。彼らは、フェイスブック、ツイッター、リンクトインなどのソーシャル・メディア・プラットフォームや企業のウェブサイトから収集した一般に入手可能な情報を活用し、経営者の日常生活、活動、責任、仕事上の関係を把握する。これにより、彼らは信用できる合法的な人物に見せかけ、被害者を簡単に騙すことができるのだ。

捕鯨攻撃を止める方法はあるのか？はい、あります！以下に、フィッシング、スプーフィング、ホエーリング、その他のソーシャル・エンジニアリング攻撃に対抗するための、プロアクティブな対策を紹介します。多層的なアプローチがベストです：

1. 電子メール認証プロトコル：
   • Sender Policy Framework（SPF）は、正当な送信元を認証するのに役立ちます。複数のドメインやサードパーティを利用してメールを送信している場合、SPFレコードを利用することで、送信元を特定することができます。
   • DomainKeys Identified MailまたはDKIMは、暗号署名を使用する電子メール認証プロトコルであり、メッセージの送信過程を通じて、メッセージが変更されていないことを保証するのに役立ちます。
   • そして最後に、 DMARC(Domain-based Message Authentication, Reporting, and Conformance)は、SPFやDKIMの識別子を整列させ、メール受信サーバーに対して、あなたのドメインから送信された偽のホエーリング・メッセージをどのように扱うか（例えば、拒否する）を指定するのに役立ちます。p=reject`に設定されたDMARCポリシーは、ホエーリングで使用される直接ドメインのスプーフィングに効果的に対抗することができます。チェックに失敗したメールを拒否したり、送信メールに認証を要求したり、なりすましメールの配信を停止したりすることができます。
2. DMARCレポート：ポリシーモードを実施した後、DMARC集計フォレンジックレポートをオンにしてください。 DMARC集計およびフォレンジックレポートを有効にすることで、メールソースを監視し、配信可能性を把握し、ドメインに対する攻撃の試みを迅速に検出することができます。DMARCアナライザツールは、これらのレポートを管理し、ポリシーを安全にアップグレードするのに役立ちます。
3. 従業員の教育と訓練：従業員、特に上級管理職や財務チームには、ホワイリングのリスクを認識させ、不審な電子メールを認識し、別個の通信チャネルを通じて要求（特に財務的なもの）を確認し、不明なリンクをクリックしたり、予期しない添付ファイルを開いたりすることを避けるよう訓練させる。定期的なサイバー認識トレーニングは極めて重要である。
4. 強力な認証：特に電子メールや機密性の高いシステムへのアクセスには、可能な限り二要素認証（2FA）または多要素認証（MFA）を導入する。
5. パスワードのセキュリティ：すべてのアカウントに強固で一意なパスワードのポリシーを適用する。
6. メールフィルタリングとセキュリティソフトウェア：堅牢な電子メールフィルタリングソリューションを使用して、疑わしい電子メールをブロックしたり、レビューのためにフラグを立てる。アンチウイルスやファイアウォールなどのエンドポイントセキュリティを使用する。
7. 定期的なソフトウェアアップデート：脆弱性の悪用を防ぐため、すべてのソフトウェア、オペレーティングシステム、ブラウザを最新のセキュリティパッチに更新する。
8. ネットワークセキュリティ：ネットワークのセグメンテーションや厳密なアクセス制御など、強力なネットワークセキュリティ対策を実施する。
9. インシデント対応計画：フィッシングやクジラ攻撃のようなセキュリティ・インシデントへの対応計画を明確にし、被害を最小限に抑え、迅速な復旧を可能にする。

このようなセキュリティ対策を講じることで、組織の従業員を標的にしたソーシャル・エンジニアリング攻撃の成功率を確実に下げることができます。DMARCのような技術的コントロールと継続的な教育や認識を組み合わせることが、ホエーリングに対する強力な防御を構築する鍵となります。また、DMARCを導入することで、次のような技術に道を開くことができます。 BIMIのような技術にも道を開くことができ、検証済みのブランドロゴをメールに添付して、信頼と認知をさらに高めることができます。

• について
• 最新記事

ユネス・タラダ

ドメインおよびメールセキュリティの専門家（所属： PowerDMARC

ユネスはPowerDMARCのオペレーションチームリーダーで、メール認証とセキュリティの専門知識を持つ。マイクロソフト認定のAzureアドミニストレーターアソシエイトであり、CompTIA A+やその他多くの資格を持っています。

最新記事 by Yunes Tarada(全て見る)

• Kit DKIM、DMARC、およびSPFの設定ガイド - 2026年7月6日
• NIST SP 800-81r3：電子メールのためのDNSセキュリティガイドライン - 2026年6月25日
• DKIMレコードの分割方法 - 2026年6月5日