スピアフィッシングとは？

記事の概要：

• スピアフィッシングは、パーソナライズした情報を使って特定の個人や組織を欺き、機密データを開示させたり、システムに悪意のあるソフトウェアをインストールさせたりするよう仕向ける、標的型のメール攻撃です。
• 広範なキャンペーンと違い、スピアフィッシングはソーシャルエンジニアリングと偵察によって説得力の高いメッセージを作成する高度な攻撃で、従来のセキュリティフィルターで検出することが非常に難しい脅威です。
• スピアフィッシングを防ぐための対策としては、多要素認証（MFA）の導入、先進メールセキュリティソリューションの利用、進化するソーシャルエンジニアリング戦術を見抜けるようにする継続的な従業員トレーニングの実施などがあります。

スピアフィッシングとは？

フィッシングとは、被害者を騙して機密情報を共有させることを目的とした攻撃の総称ですが、スピアフィッシング（標的型フィッシング）とは、個人、組織、企業など単一の標的を狙ったフィッシング攻撃のことです。

スピアフィッシングは、攻撃者が被害者に関する情報（多くの場合、インターネット上で公開されている情報）を使用して、説得力のある策略を立てることができるため、特に効果的です。

スピアフィッシングと「バルク」フィッシング

フィッシング攻撃の大半は特定の標的に狙いを定めたものではありません。通常、フィッシングメッセージはできるだけ多くの人に大量に送信され、攻撃者はそのうちの極一部の人が騙されることを期待しています。これはフィッシング攻撃を実行する最も安価で最速の方法です。攻撃者は、特にAIを使用して、ある程度の自動化や個別化を組み込むことがありますが、ある特定の個人や組織向けに特別にカスタマイズする行為は、一般的な大規模フィッシングキャンペーンとして扱われるものには含まれません。

スピアフィッシングでは、攻撃対象に合わせた調査や個別化に、通常のフィッシング攻撃よりも多くの労力（そして多くの場合、資金）が必要です。このため、スピアフィッシング攻撃は比較的まれですが、成功率は非常に高く、この攻撃が成功した場合、標的に甚大な損害をもたらします。

スピアフィッシングで使用されるソーシャルエンジニアリングの手口は？

スピアフィッシングでは、多くの種類のソーシャルエンジニアリング攻撃で使われる手法を用いて、被害者を巧みに操ります。例えば：

• 時間制限を設けることで、被害者に考える余裕を与えず、急いで行動させる
• 感情に訴える手法を使う（例：偽の依頼に従わなかった場合に大変な事態を招くなどの悪影響について伝える）
• 説得力のあるストーリーを創作する（別名「プリテキスティング」）
• 相手に直接関連する詳細を含める：（受信者を名前で呼ぶ、実在する受信者の勤務先の人物名でメールを送信する、受信者の生活に関する実際の情報を含める、など）

スピアフィッシング攻撃で使用されるその他のフィッシングの手口は？

個別化に加えて、攻撃者がスピアフィッシング攻撃の効果を高めるためにしばしば取る手段がいくつかあります。

• ドメインスプーフィングとEメールスプーフィング：攻撃者は、メールアドレスやWebサイトのURLを偽装することで、より信頼性を高めることがあります。
• アカウント乗っ取り：送信者のメールアドレスを偽造する代わりに、攻撃者はまず信頼できる人物のメールアカウントのアクセス権を取得し、そこからスピアフィッシングメールを送信することがあります。
• 生成AI：攻撃者は、大規模言語モデル（LLM）を使用してメッセージの作成や校正、あるいは標的の調査を行うことがあります。

スピアフィッシング攻撃とはどのようなものか？

スピアフィッシングの一般的な手口は、攻撃者が権威ある人物を装うことです。これは、人々は相手が権威ある人物であれば反応する可能性が高いためです。

以下はその一例です。

ジョーはメアリーというCEOの秘書をしています。ある日、メアリーが休暇で海外にいるとき、ジョーのもとにメアリーから緊急のメールが届きます。メールによると、彼女の荷物と携帯電話が盗まれたとのこと。お金もパスポートもないので、ホテルを予約して帰りの飛行機を買うために、至急PayPalの認証情報を送ってほしいという内容です。Joeはこの雇用主からの悲惨なメッセージを見て、要求された情報をすぐに送信してしまうかもしれません。

このような上司からの「困っていてお金が必要だ」と言う依頼は、よくあるスピアフィッシングの台本です。攻撃者は、メアリーのメールを偽装し、正しいメールを見つけようとしてジョーの名前とイニシャルの組み合わせを何十通りも変えてメールを送信している可能性があります。また、攻撃者は、Twitterでメアリーをフォローすることで、メアリーの休暇の計画を知った可能性もあります。これらのツールをすべて組み合わせることで、攻撃者は非常に説得力のある詐欺を考案することができます。

この顕著な実例が2016年に発生しました。攻撃者はSnapchatのCEOを装い、従業員に給与の機密情報を渡すように説得することに成功しました。

スピアフィッシング攻撃では、漏洩したデータの情報を活用することもできます。もう一つの例をご覧ください。

スティーブは大手オンラインショップでパソコンを購入しました。しかしその数週間後、そのショップでデータ漏出が発生しました。クレジットカード番号やパスワードなどの機密データはハッシュで保護されていたものの、顧客の電子メールアドレスや注文履歴が流出しました。

数日後、スティーブのもとに新しく買ったコンピュータのメーカーから、そのモデルがリコールされることと、返金を受けるためのリンクが記載されたメールが届きました。このリンクを使用すると、スティーブはメーカーの偽サイトに誘導され、返金を受けるためにクレジットカード番号を入力する偽のフォームが表示されます。この攻撃者は、比較的害のないデータを使用してスティーブの信頼を得て、金融情報を渡すよう仕向けたのです。

スピアフィッシングとホエーリングの違いは？

ホエーリングとは、企業のトップや有名人など、非常に著名な被害者を標的とするスピアフィッシング攻撃のことです。ホエーリング攻撃はより巧妙になる傾向があり、多くの場合、攻撃者はまず、最終的な被害者に接触するために、「クジラ」（標的）の従業員など、より小さなターゲットに対してスピアフィッシング攻撃を行います。

例：

CEOのメアリーは休暇中に、ITチームの知人からメールまたは電話で、サイバー攻撃を受けていることを知らせる連絡を受け、会社のデータを確実に保護するために彼女の仕事用のコンピューターとアカウントへのアクセスを依頼されます。これは、攻撃者がメアリーの信頼を得るためにITチームを侵害し、認証情報を渡すように仕向けた可能性があります。

スピアフィッシングやホワイリングから身を守るには

スピアフィッシングには、ソーシャルエンジニアリングが含まれるため、この種の攻撃から身を守る確実な方法は存在しません。しかし、スピアフィッシングの試みを防ぎ、軽減するために、いくつかの予防措置をとることは可能です。そのいくつかを以下に示します。

• 電話、チャット、電子メールでは、財務情報、パスワード、その他の機密情報を決して共有しない。
• 信頼できる送信元からのメールであっても、リンクはクリックしない。URLはコピー＆ペーストするか、手で入力してクロスサイトスクリプティング攻撃から保護する。
• 重要なアカウントは二要素認証 (2FA)を有効にして、盗まれたログイン資格情報だけでは不十分となるようにする。
• Zero Trust セキュリティポリシーを有効にして、侵入者がネットワークに自由にアクセスできないようにする。