なぜフィッシャーは新入社員を狙うのか？

この数年、テクノロジーはあらゆる領域でその存在感を増している。技術の進歩は、サイバー犯罪者が情報を盗む革新的な方法を発見することも可能にした。

通常、何千人もの従業員を抱える大企業が標的にされる。しかし、だからといって中小企業が標的にならないわけではない。適切なサイバーセキュリティ対策がないため、フィッシャーは最も弱い部分、通常は新入社員を見つけやすくなっている。

記録によれば 従業員の4人に1人ががフィッシング・メールに添付されたリンクをクリックしたことを認めている。

したがって、組織はフィッシング攻撃を防ぐための戦略を考案し、実行する必要がある。また、徹底した従業員教育とサイバー犯罪に対する認識も必要である。この記事では、従業員によるフィッシング詐欺について、その種類と対処法をご紹介します。

フィッシングを理解する

フィッシングとは、詐欺師が偽の電子メールやリンクを通じて人々を騙し、重要な情報を提供させるサイバー攻撃の一種です。情報はフィッシング詐欺師のターゲットによって大きく異なり、通常は機密性の高いものです。 

情報には通常、ログイン情報、アカウント情報、パスワード、銀行情報などが含まれる。フィッシング攻撃が成功すると、企業に大規模な損失をもたらす可能性があります。フィッシング攻撃は単に機密情報を漏えいさせるだけでなく、企業の機密情報を利用することで企業の名誉を傷つけることもあります。

PowerDMARCでセキュリティを簡素化！

新入社員を狙う4つの一般的なフィッシング攻撃

従業員を狙ったフィッシング攻撃のほとんどは、パーソナライズされたメッセージに基づいている。メッセージの内容は、疑われるのを避けるために、ユーザーに親近感があるように見えるようにフォーマットされている。 

時が経つにつれて、攻撃者は従来のフィッシングの手口を変えてきている。そのため、フィッシング攻撃の種類に関する従業員の知識の更新は必須である。そうすることで、攻撃を迅速に認識することができる。以下に、従業員をターゲットにした一般的なフィッシング攻撃をいくつか挙げる。

1.従業員のフィッシングメール

これは最も一般的なフィッシング攻撃であり、新入社員をだます最も便利な方法である。この種の攻撃は電子メールを通じて広まる。攻撃者は従業員の親会社になりすましてメールを作成し、機密情報を盗み出そうとします。

AIは、攻撃者が識別可能なエラーのない高品質のフィッシング・メールを生成するのを支援することで、このようなフィッシング攻撃に劇的な影響を及ぼしている。 

2.スピアフィッシング

スピア・フィッシングは、高度に標的を絞ったフィッシング攻撃です。その従業員を標的にする背景には、特定の狙いがある。そのユーザーの背景情報を収集した後、パーソナライズされたEメールが作成され、送信されます。このメールは、被害者が即座に認識できる正当な送信元を装います。

スピアフィッシングでは、通常、悪意のあるメールは一般的な挨拶ではなく、受信者の名前で始まります。攻撃者は通常、従業員の勤務先やアカウントの詳細を追加し、アカウントにログインして行動するよう求めます。

3.捕鯨

捕鯨フィッシングと同じ手口である。この場合、攻撃者はCスイート・エグゼクティブのような知名度の高い従業員を標的にする。他のフィッシング攻撃と同様に、悪意のある電子メールや何らかの緊急性を含んだメッセージを使用します。

この手口では、このようなハイレベルの幹部になりすまし、通常、被害者に悪意のある電子メールにリンクされた添付ファイルを開いたり、機密データを共有したりするよう促す。標的の情報が収集されると、それを使って企業のデータを搾取することができる。

4.アングラー・フィッシング攻撃

これは比較的新しいタイプのフィッシング攻撃である。 アングラーフィッシングは、ソーシャルメディアやウェブサイトを利用してマルウェアを拡散させる。従業員は特定のURLやツイートを開くよう説得される。ウェブサイトは、新入社員が希望する機能を実行するためにログイン情報を入力するよう求めることがあり、その結果、次のような問題が発生する。 データ侵害.

さらにこのタイプでは、フィッシャーは従業員がソーシャルメディア・アカウントに投稿したデータも利用して、高度な標的型攻撃を仕掛ける。

なぜ新入社員は標的になりやすいのか？

新入社員がフィッシャーに狙われやすい理由をいくつか挙げてみよう。 

社内規定への不慣れ

通常、新入社員へのオンボーディングでは、会社の方針やセキュリティのベストプラクティスに慣れ親しんでもらいます。
また、新入社員は、100％機密であり、いかなる状況でも開示してはならない会社情報の種類を理解しなければなりません。新入社員はまた、会社の電子メールアドレスが本物か偽物かを見分ける助けを必要とすることもあります。

サイバーセキュリティのベストプラクティスに関する限られた知識

現場の新入社員は通常、サイバー脅威についてより多くの知識を必要としている。彼らは脆弱性や抜け穴に気づいていないため、簡単に詐欺に遭う可能性がある。たとえフィッシング攻撃について知っていたとしても、潜在的な解決策や防止策を知らないだろう。

自らを証明する意欲の高まり

新入社員は、新しい職場で自分自身を証明することに大きな情熱を持っている。彼らは指示に素早く行動し、確認することなく盲目的に指示に従う。彼らは常にアクティブであろうとし、会社関係者から送られてくるすべての電子メールに効率的に返信しようとする。フィッシング詐欺師はこのような切迫感を利用して、彼らをフィッシング攻撃に誘い込むのだ。

組織が従業員のサイバーセキュリティに失敗する理由 

組織の非効率性も、従業員が詐欺に遭うのに大きな役割を果たしている。

不十分なトレーニングプログラム

サイバーセキュリティに関する研修と意識向上は、従業員の職務開始時に実施しなければならない。組織は、そのような社内トレーニング・セッションを手配しなければならない。従業員全員に、潜在的な脅威とその解決策を認識させる必要がある。カスタマイズ可能な表彰やオーダーメイドの表彰盾など、従業員への報奨や表彰を通じて感謝の文化を醸成することは、従業員がサイバーセキュリティ・トレーニングに積極的に取り組み、潜在的な脅威に対して警戒を怠らないよう動機付けるのに役立つ。

電子メールによるコミュニケーションへの依存

電子メールは、古くから従業員間の主要なコミュニケーション・ソースであった。電子メールはフィッシャーの最大の標的でもあるため、企業は従業員間の日常的なコミュニケーションに、Discord、Slack、Microsoft Teamsのようなパーソナライズされたチーム・コミュニケーション・プラットフォームへの切り替えを検討するかもしれない。電子メールは特定のシナリオや顧客とのコミュニケーションに限定することができる。 

メールセキュリティの欠如 

による認証のようなメールセキュリティのベストプラクティスを見落としがちです。 SPF, DKIMやDMARCによる認証のようなベストプラクティスを見落としがちだ。そのため、ドメインがなりすましやフィッシング、なりすまし攻撃にさらされやすくなります。また、なりすました会社のドメインから新入社員に偽のメールを送ることも簡単にできる。

コンプライアンスの徹底 

単にメール認証プロトコルを設定するだけでは十分ではありません！組織がDMARCポリシーを実施しない限り、ドメインは電子メールを媒介とする脅威に対して脆弱なままです。

DMARCポリシーの無作動から強制への移行を安全に行うには DMARCポリシー, サインアップPowerDMARCにサインアップしてください。

従業員の意識向上とトレーニングの重要性 

従業員意識向上トレーニングは単なる形式的なものではありません。PowerDMARCの無料 メールセキュリティトレーニングコースは、当社の従業員を含む何千人もの候補者が、電子メールの脅威に直面したときに警戒し、認識し続けるのに役立っています。

さらに、新入社員は次のようなヒントも活用できる。 ヒントと戦略フィッシング攻撃を避けることができます。

• フィッシング攻撃に関する情報を入手し、セキュリティ・トレーニング・セッションに参加し、以下のようなサイバーセキュリティの最新動向について学ぶ。AIと 量子コンピューティング.
• メールアカウントと添付リンクの正当性に注意深く注目する。緊急性を強調したり、緊急の行動を求めたりするメールは避ける。
• アンチウィルス、アンチマルウェア、ファイアウォールソフトウェアを使用して、すべてのソフトウェアとセキュリティツールを常に更新し、ウィルスフリーにシステムをアップデートする。
• 添付されたリンクにカーソルを合わせ、文脈を注意深く読むことで、不審なメールを避けることができます。メールの信憑性が疑わしい場合は、送信者に連絡し、他のプラットフォームを通じて確認すること。
• 以下のような高度な電子メール認証プロトコルを使用して、電子メールドメインを保護します。 SPF、 DMARCおよびDKIMのような高度なメール認証プロトコルを使用してメールドメインを保護します。

まとめ 

どの企業にとっても、従業員はデータ漏洩に対する不可欠な防御源である。しかし、さまざまなセキュリティ・プロトコルを導入しても、悪意のある電子メールが従業員の受信トレイに届くことがあります。 

したがって、組織が攻撃されるのを防ぐことができる唯一のものは、予防措置を設定し、適切なセキュリティサービスプロバイダを選択することです。PowerDMARCは、あらゆる規模の組織がドメインセキュリティのニーズを調整し、メール配信に悪影響を及ぼすことなくコンプライアンスを達成できるよう支援してきました。ドメインセキュリティを強化するには お問い合わせまでご連絡ください！

• について
• 最新記事

Ahona Rudra

ドメインとメールセキュリティのエキスパートPowerDMARC

AhonaはPowerDMARCのマーケティングマネージャーで、サイバーセキュリティのトピックについて5年以上の執筆経験があり、ドメインと電子メールのセキュリティを専門としている。ジャーナリズムとコミュニケーションの卒業後学位を取得し、2019年からセキュリティ分野でキャリアを固めている。

最新記事 by Ahona Rudra(全て見る)

• PowerDMARC、カタールにおけるメールセキュリティ強化のためLoons Groupと提携- 2025年3月13日
• メールフィッシングとオンライン匿名性：ダークネット上で攻撃者から完全に隠れることは可能か？- 2025年3月10日
• DNSハイジャックとは？検知、予防、緩和策- 2025年3月7日