フィッシング攻撃：その仕組みと防止方法

要点： フィッシングは最も普及しているサイバー攻撃のベクトルの1つであり、偽りのメール、電話、ウェブサイトを使用して認証情報を盗みます — 効果的な防御には、セキュリティツールと継続的な警戒心、および未承諾通信に対する懐疑的な文化を組み合わせることが必要です。

サイバー犯罪者は個人情報を盗み、システムを侵害するために常に戦術を改良しています。フィッシングは彼らの最も効果的な武器のままです。FBIのインターネット犯罪苦情センターは、2022年に300,000件を超えるフィッシング苦情を報告し、損失額は5,200万ドルを超えました。

これらの攻撃は、偽のメール、電話、テキスト、ウェブサイトを使用して、人々を認証情報を引き渡させるように騙します。各タイプがどのように機能するかを理解することは、実際の防御を構築するための最初のステップです。

フィッシングタイプ	方法	主なターゲット
メールフィッシング	信頼できるブランドを装った大量の偽メール	広い対象者 — 認証情報、支払い情報
スピアフィッシング	被害者に関する既知の詳細を使用した個人化されたメール	特定の個人または組織
ビッシング	銀行やテクサポを装った音声通話	金融情報、アカウントアクセス
スミッシング	悪意のあるリンクを含む偽のSMSメッセージ	モバイルユーザー、配送/小包詐欺
ホエーリング	経営幹部またはCスイート向けの非常にターゲットを絞った攻撃	送金、機密会社データ
ファーミング	正当なURLを静かに偽のサイトにリダイレクト	ログイン認証情報（大規模）
クローンフィッシング	実在のメールを悪意のあるリンクと交換して複製	元の送信者を信頼する被害者

フィッシング試行を検出する方法

フィッシングメッセージには共通の危険信号があります。それらを素早く見つけることで、認証情報の盗難とマルウェア感染を防ぎます。

送信者アドレスを確認してください。 攻撃者は表示名をなりすましてきますが、スペルミスのあるドメインを使用します。「support@amaz0n-security.com」からのメールはAmazonではありません。送信者フィールドにカーソルを置いて、実際のアドレスを確認してください。

緊急性と脅迫の兆候を探してください。 「あなたのアカウントは24時間以内にロックされます」と主張するメッセージは、考えずに行動するよう圧力をかけます。正当な企業がメール経由で突然の期限を課すことはめったにありません。

リンクをクリックする前に検査してください。 リンクにカーソルを置いて、リンク先のURLをプレビューしてください。リンクテキストが「bankofamerica.com」と表示されているが、URLが「boa-secure-login.xyz」を指している場合は、メッセージをすぐに閉じてください。

文法とフォーマットのエラーに注意してください。 専門的な組織は通信をプルーフリードします。スペルミス、奇妙な間隔、一貫性のないロゴは、詐欺的なメッセージを示しています。

実際に機能する防止のベストプラクティス

検出だけでは十分ではありません。組織と個人は、フィッシング試行がインボックスに到達する前にブロックするための多層防御が必要です。

多要素認証（MFA）を有効にしてください。 MFAはMicrosoftによると、自動化されたアカウント侵害攻撃の99.9%をブロックします。攻撃者がパスワードを盗んでも、2番目の要因がなければアカウントにアクセスできません。

メール認証プロトコルを実装してください。 ドメインのSPF、DKIM、およびDMARCレコードを設定してください。これらのプロトコルは、受信メールが実際に主張された送信者から発信されていることを確認します。DMARC単独でドメインスプーフィングを最大90%削減します。

四半期ごとにセキュリティ認識トレーニングを実施してください。 年1回のトレーニングでは十分ではありません。90日ごとに従業員をトレーニングする組織は、12ヶ月以内にフィッシングクリック率が30%から5%未満に低下するのを見ています。

DNSフィルタリングとウェブプロキシを使用してください。 これらのツールは、既知のフィッシングドメインへのアクセスをリアルタイムでブロックします。Cisco UmbrellaやCloudflare Gatewayなどのサービスは、数百万の悪意のあるURLのデータベースを保持しています。

フィッシング報告ボタンをデプロイしてください。 従業員に疑わしいメールを報告するワンクリックオプションを与えてください。これはセキュリティチームに組織固有のリアルタイム脅威インテリジェンスをフィードします。

攻撃が成功した場合のフィッシング対応ステップ

最高の防御でさえ時々失敗することがあります。明確なインシデント対応計画は損害を制限し、復旧を速めます。

影響を受けたアカウントをすぐに隔離してください。 侵害されたパスワードをリセットしてアクティブなセッションを取り消してください。MFAが有効になっていない場合は、今すぐ有効にしてください。

15分以内にセキュリティチームに通知してください。 迅速な報告により、対応者は他のアカウントに広がる前に攻撃者のインフラストラクチャをブロックする時間が得られます。

マルウェアをスキャンしてください。 被害者がリンクをクリックしたか添付ファイルをダウンロードした場合は、完全なエンドポイントスキャンを実行してください。スキャンが完了するまで、デバイスをネットワークから隔離してください。

すべてを文書化してください。 フィッシングメールのヘッダー、URL、タイムスタンプ、および実行されたアクションを記録してください。この証拠はフォレンジック調査と規制報告をサポートします。

影響を受けた当事者と通信してください。 顧客データが露出した場合は、管轄区域の違反通知法に従って影響を受けた個人に通知してください。透明性は信頼を保持します。

最終判定

フィッシングはサイバーセキュリティにおいて最も永続的な脅威のままです。攻撃者は迅速に適応し、単一チャネルの防御が改善されるにつれて、メールからSMSへ、そして音声通話へと移動します。

検出スキル、多層技術制御、および定期的なトレーニングは、効果的な防御の基礎を形成します。DMARCのようなメール認証プロトコルはドメインスプーフィングを停止します。多要素認証は盗まれた認証情報を無効にします。四半期ごとのトレーニングは、組織全体のフィッシング認識を鋭くしておきます。

堅牢なインシデント対応計画は、攻撃が回避される場合、チームが日数ではなく数分以内に損害を抑制できるようにします。対応手順を文書化し、明確な役割を割り当て、定期的にそれらをリハーサルしてください。

フィッシング防御は1回限りのプロジェクトではありません。組織のあらゆるレベルで継続的な注意、更新されたツール、およびセキュリティ対応文化が必要です。

よくある質問

フィッシングとはどのような仕組みで、攻撃者は実際にどのように実行するのですか？

フィッシングは、偽のメール、電話、テキスト、またはウェブサイトを通じて信頼できる送信者になりすまし、被害者を認証情報またはお金を引き渡すよう騙すことで機能します。FBIのインターネット犯罪苦情センターは、2022年だけで300,000件を超えるフィッシング苦情を記録し、損失額は5,200万ドルを超えました。攻撃者は技術的エクスプロイトではなく、緊急性、なりすまされたドメイン、および模倣されたブランディングに依存して成功します。

メールフィッシング、スピアフィッシング、ホエーリングの違いは何ですか？

メールフィッシングは認証情報または支払い情報を求めて幅広い対象者に偽のブランドメールを送信しますが、スピアフィッシングは特定のターゲットに関する既知の詳細を使用してメッセージをカスタマイズします。ホエーリングはさらに進み、送金の承認または機密会社データの漏洩を目的として、特に経営幹部およびCスイートをターゲットにします。攻撃が的確になるほど、通常はより説得力があり、より高額になります。

ビッシングとスミッシングとは何で、メールフィッシングとどう違いますか？

ビッシングは、金融情報とアカウントアクセスを抽出するために銀行またはテクサポになりすまして音声通話を使用しますが、スミッシングは偽のSMSメッセージを送信します。多くの場合、配送または小包の通知に偽装した悪意のあるリンクが含まれています。どちらもメールをスキップするため、DMARCなどのメール認証プロトコルをバイパスでき、電話やテキストに人々が関連付ける直前性を悪用します。

ファーミングとは何で、偽のメールよりも検出が難しいのはなぜですか？

ファーミングは、正当なURLを静かに偽のサイトにリダイレクトし、疑わしいメールやリンクが不要なため、被害者は正しいアドレスを入力した後でもなりすましログインページに着地します。1人の被害者ではなく、大規模でログイン認証情報をターゲットにしており、スペルミスのあるドメインのような疑わしいメールが通常トリガーする懐疑心がありません。

クローンフィッシングとは何ですか？

クローンフィッシングは、実在する以前に送信されたメールを複製し、悪意のあるリンクを交換します。被害者が既に元の送信者と元のメッセージを信頼しているという事実に基づいています。コピーは受信者が既に見た正当なものとほぼ同じに見えるため、コールド、予期しないメールが通常トリガーする懐疑心をバイパスします。

フィッシングメールの明らかな兆候は何ですか？

4つの危険信号がほとんどのフィッシングメールを明らかにします。「amaz0n-security.com」のようなスペルミスのあるドメインの送信者アドレスを確認し、「あなたのアカウントは24時間以内にロックされます」などの緊急性を監視し、実際の宛先URLをプレビューするリンクにカーソルを置き、専門的な組織が通常避ける文法またはフォーマットエラーをスキャンしてください。

多要素認証はフィッシング攻撃が成功するのをどのように阻止しますか？

Microsoftによると、多要素認証は自動化されたアカウント侵害攻撃の99.9%をブロックします。盗まれたパスワード単独では、2番目の要因なしにはログインするのに十分ではありません。フィッシングメールが正常に認証情報を収集した場合でも、MFAはログイン画面で攻撃者を停止し、利用可能な最高影響のある防御の1つになります。

SPF、DKIM、およびDMARCとは何で、すべての3つが必要ですか？

SPF、DKIM、およびDMARCはドメインレベルで構成されるメール認証プロトコルであり、受信メールが実際に主張された送信者から発信されていることを確認します。はい、それらは代替手段としてではなく一緒に機能し、DMARC単独でドメインスプーフィングを最大90%削減します。3つすべてが構成されていない場合、攻撃者は独自の従業員またはお客様をターゲットにするために使用するドメインをなりすまします。

セキュリティ認識トレーニングが実際にリスクを軽減するためにどのくらいの頻度で発生する必要がありますか？

年1回ではなく、四半期ごとのトレーニングが結果をもたらします。90日ごとに従業員をトレーニングする組織は、12ヶ月以内にフィッシングクリック率が30%から5%未満に低下するのを見ています。年1回のセッションでは、習慣が薄れるには大きなギャップが残るため、90日のペースが測定可能な結果を生み出すものです。

従業員がクリックする前にどのツールがフィッシングサイトをブロックしますか？

DNSフィルタリングとウェブプロキシは、数百万の悪意のあるURLのデータベースを維持するCisco UmbrellaやCloudflare Gatewayなどのサービスを使用して、リアルタイムで既知のフィッシングドメインへのアクセスをブロックします。それをワンクリックのフィッシング報告ボタンと組み合わせると、従業員は疑わしいメールを即座にフラグできるようになり、組織固有のリアルタイム脅威インテリジェンスをセキュリティチームにフィードします。

フィッシングリンクをクリックした場合、またはパスワードを入力した場合、最初に何をすべきですか？

アカウントを直ちに隔離します。侵害されたパスワードをリセットしてすべてのアクティブなセッションを取り消し、MFAがまだ有効になっていない場合は有効にしてください。リンクをクリックしたか添付ファイルをダウンロードした場合は、デバイスがスキャンを完了するまでネットワークから隔離してから、完全なエンドポイントスキャンでマルウェアを実行してください。

企業がフィッシング事象を社内で報告するのはどのくらい迅速である必要がありますか？

疑わしい侵害の約15分以内にセキュリティチームに通知してください。その速度により、対応者は他のアカウントに広がる前に攻撃者のインフラストラクチャをブロックする時間が得られます。迅速な社内報告は、対応インシデントで時間ではなく分が結果を測定可能に変える数少ないコントロールの1つです。

認証情報が盗まれた後の優れたインシデント対応計画には何が含まれていますか？

堅牢なフィッシング対応計画は、フィッシングメールのヘッダー、URL、タイムスタンプ、および実行されたすべてのアクションを文書化し、法医学的調査と規制報告をサポートしています。また、影響を受けたアカウントを隔離し、デバイスをマルウェアについてスキャンし、顧客データが露出した場合は管轄区域の違反通知法に従って影響を受けた個人に通知します。