サイバーセキュリティ啓発月間 基本に立ち返る: フィッシング、餌に食いつかないために

サイバーセキュリティはもはやCISOや技術者だけのものではありません。テクノロジーは、乳児の保育室から高齢者施設に至るまで、ほぼ毎日私たち全員に関わっています。だからこそ、すべての人が安全なサイバー活動の基本を理解することが重要です。10月はサイバーセキュリティ啓発月間です。FireMonは、最も若い読者の方にも分かりやすい形でヒントをお届けします。ぜひご友人やご家族と共有し、安全にお過ごしください。

釣りには忍耐と粘り強さが必要です。狙う魚を定め、それに応じた餌を用意します。ナマズにはシマミミズ、サメにはまき餌といった具合です。餌はできるだけ本物らしく、魅力的に見えるよう慎重に仕掛けます。何時間もかかるかもしれませんが、一匹の獲物がすべてを報いてくれます。ウェブ上のフィッシングもこれとさほど変わりません。ただし、網を投げるのは脅威アクターです。

データ侵害のおよそ90%はフィッシングに起因しています。ソーシャルメディアやメールにおいて、ツイート、投稿、テキストメッセージ、メッセージに埋め込まれたクリック可能なリンクは、悪意ある者が情報にアクセスするための最大の手段です。企業も個人も同様に攻撃を受ける可能性があります。

毎日数十億通のスパムメールが配信され、その多くはフィルタリングされます。しかし、約30%は非常に巧妙に作り込まれており、フィルタをすり抜けて受信者に開封されています。迷惑メールは無害なマーケティングであることもありますが、悪意ある策略である場合もあります。フィッシング犯は、標的が知らないうちにデータを共有してしまうよう仕向けるための、さまざまな手口を用意しています。

フィッシングの5つの種類

1. メールフィッシング - 最も一般的な手口です。実在するウェブサイトのURLやメールアドレスを模倣しますが、多くの場合わずかな違いがあります。自動的にフィルタリングされることが多いものの、正規のものに見えることもあります。
2. スピアフィッシング - より標的を絞ったメール攻撃です。正規のものに見せかけるため、氏名、勤務先、役職といった個人を特定できる情報が含まれるのが一般的です。
3. ホエーリング - 個人に合わせた攻撃です。攻撃者は経営幹部になりすまし、部下に個人的な依頼をすることがあります。多くの場合、緊急の送金を求めるものです。文面は通常、短く目立たないものです。
4. スミッシングとビッシング - メールフィッシングと同様ですが、テキストメッセージや電話を使用します。
5. アングラーフィッシング - ソーシャルメディア上での標的型攻撃です。偽のURL、複製されたウェブサイト、投稿やツイート、インスタントメッセージなどが含まれます。

多くのフィッシング攻撃は、不自然な英語や常識外れの要求によって明らかにおかしいと分かりますが、非常に巧妙に偽装されたものもあります。フィッシング攻撃を見破るためのヒントをいくつかまとめました。

• 送信者のメールアドレスを確認してください。メールアドレスと、メール内で言及されている組織が一致しているかを確かめてください。まったく異なる場合もあれば、二度見しなければ分からないほどよく似ている場合もあります。たとえば、偽のメールでは「m」に見せかけるために「rn」が使われることがあります。
• そのメールが届くことを予期していたかどうか、自問してください。フィッシングの試みは多くの場合、機密情報を聞き出そうとし、「アカウントに不審なアクティビティがあります」「お支払いが遅延しています」といった注意を引く内容を含みます。これにより切迫感を生み出し、受信者を慌てさせようとします。不審に思った場合は、参照されているウェブサイトに直接アクセスし - メール内のリンクはクリックせずに - 直接問い合わせてください。
• 本文、メールアドレス、リンクに誤字がないか確認してください。文法の誤りや誤字は、問題があることを示す明確な兆候です。悪意ある者は英語のネイティブスピーカーでないことが多いためです。
• 信頼できない添付ファイルはクリックしないでください。フィッシング詐欺の本文は短く、デバイスに即座に害を及ぼす添付ファイルを開くよう誘導するものが多くあります。
• リンクが正規のものかどうか、事前に確認してください。疑わしい場合は、リンクにマウスを乗せ、画面下部に表示される遷移先を確認してください。さらに良いのは、記載されているウェブサイトを別のブラウザに直接入力してアクセスすることです。

重要なポイント: 信頼関係が確立されていない送信元からのものは、決してクリックしないでください。内容が唐突すぎる、予期しない緊急性がある、または全般的に不審だと感じた場合、最善の対応は削除することです。ご自身や他者の個人情報にアクセスしようとするものには、決して返信しないでください。

インターネットは素晴らしい場所です。責任を持って楽しくご利用ください。