ホエーリングフィッシングとは？

ホエーリングとは？

ホエーリング（ホエールフィッシング）とは、会社の社長や役員などの経営幹部を狙った攻撃の一種で、通常、メール、SMS、インスタントメッセージなどのデジタル手段を介して行われます。ホエーリングはスピアフィッシングの一種でもあり、攻撃者はあらかじめターゲットについて詳しく調べ上げてから攻撃を仕掛けます。ホエールフィッシング攻撃の目的は、データ、アクセス権、または金銭を奪うことです。ホエーリングは、C-suite（経営幹部）やそれに類する上級管理職を標的とするため、攻撃者は、より機密性の高いデータ、より上位レベルのアクセス権、より多額の資金を狙う傾向があります。

他のフィッシング攻撃と同様に、ホエーリングでもソーシャルエンジニアリング手法で緊急の対応が促されます。詐欺師は、ドメインスプーフィングからなりすましまで、さまざまな手口を使って自身の正体を隠します。

ホエーリング攻撃は（攻撃者にとっては）高価で時間がかかるため、発生件数は多くありませんが、ひとたび成功すると企業に非常に大きな悪影響を与える可能性があります。ホエーリングは通常のセキュリティ対策をすり抜ける手口が使われることがあるため、組織は一般的なフィッシング対策に加えて、ホエーリングへの対策も行う必要があります。

ホエーリング攻撃で使用されるソーシャルエンジニアリングの手口は？

詐欺師はホエーリング攻撃を成功させるために、非常に手の込んだ準備を行うことがありますが、この攻撃が成功した場合、大きな利益が得られるため、その価値を感じて攻撃者は入念な準備を行います。以下は、使用する主な手口です：

個人情報を盛り込んで信頼性を高める：メッセージをターゲットに合わせた内容にすることで、本物のように誤認させます。意図した被害者の職業や私生活に関する情報は、さまざまな情報源から入手できます。

緊急性を煽る：メッセージの内容を「今すぐ対応しなければ問題に発展する」などのようにして緊急の対応を促します。メッセージの内容には、緊急性を高めるために、企業の合併、法的調査、大規模な資金移動、データ漏洩など、重要で注目度の高い出来事に関連したメッセージが多用されます。

信頼できる人物になりすます：詐欺師は、ドメインスプーフィング、偽のインスタントメッセージアカウント、またはSIMスワップされた電話番号を使用して、標的の知人になりすまします。信頼できる人物の文体を模倣したり、ディープフェイクを使って声や見た目を模倣したりすることもあります。過去にアカウント乗っ取りに成功していれば、本物のアカウントを使う場合もあります。よくある例として、詐欺師がCEOになりすまして人事部や財務部の幹部に連絡を取るケースがあります。

やりとりを複数回行う：一般的なフィッシング攻撃は1通のメールで終わりますが、ホエーリングの詐欺師は、数週間から数か月かけて信頼関係を築く場合もあります。例えば、Acme社のCEOを装った詐欺師がAcme社の人事部長にディレクターに、実際のCEOのメールアドレスから数文字変えただけのメールアドレスから、通常の会話のようなメッセージを送信してやり取りを重ね、人事部長がそのメールに慣れてきた頃に、悪意のある依頼を送るといったことが考えられます。

進行中のやり取りや取引の中にメッセージを紛れ込ませる：攻撃者は、単なるなりすましを超えて、すでに続いているメールスレッドの中にメッセージを挿入することも考えられます。これは手法としてはかなり高度なものになりますが、過去にアカウント乗っ取りに成功していればこのような攻撃も可能になります。

ホエーリング攻撃者はどのようにメッセージをパーソナライズするのか？

詐欺師は、さまざまな情報源から情報を収集して、メッセージをターゲットに合わせた内容に仕立て、メッセージを受け取った被害者が親しい人物からのメッセージであると誤認するように仕向けています。

• 一般に公開されている情報：ホエーリングのターゲットになる人物は注目を浴びる立場に居ることが多く、関連する多くの情報が公開されている可能性があります。攻撃者はこれらの情報をもとに、標的にする人物の選定、計画、標的に合わせたメッセージの作り込みを行います。
• SNSの情報：たとえば、CTOがネバダ州ラスベガスで開催されたカンファレンスに参加したと投稿した場合、攻撃者はその会場で知り合った人物を装って連絡してくる可能性があります。
• 企業の組織図や役割の調査：多くの企業は、組織図をWebサイトやSNSなどで公開しています。
• 過去に流出した情報：連絡先情報を含む個人情報のセットがダークウェブで販売されていたり、過去の攻撃で既に入手されている可能性があります。
• 内部関係者（意図的または非意図的）：攻撃者はソーシャルエンジニアリングで従業員を操り、企業構造や労働環境、経営陣の行動パターンを聞き出すことがあります。また、悪意のある内部関係者や企業スパイが、これらの情報を意図的にフィッシング詐欺師に伝えることもあります。

ホエールフィッシング攻撃ではAIがどのように活用されているか？

• メッセージの作成：大規模言語モデル（LLM）を使用することで、説得力のある、誤りのない自然な文章のメッセージやメールをはるかに簡単に作成することができます。
• 信頼できる人物を模倣する：AIを使用することで、詐欺師はその人物の文体を再現したり、電話でその人物の声を模倣することができます。
• バイブコーディングで企業やブランドになりすます：バイブコーディングを使用することで、偽のWebサイトや本物に見えるメールをこれまで以上に高速に作成することができます。
• 自動化：AIを使用することで、標的対象の選定、関連アカウントの侵害、その他ホエールフィッシングの一連の流れの一部を自動化することが可能になります。

ホエーリングとビジネスメール詐欺（BEC）の違い

ホエーリング攻撃とビジネスメール詐欺（BEC）攻撃には、いくつかの共通点があります。どちらも、マルウェアや悪意のあるリンクではなく、ソーシャルエンジニアリングに大きく依存しているため、通常のメールセキュリティ対策をすり抜けやすいという特徴があります。しかし、BEC攻撃は一般社員や中間管理職を標的とする可能性があるのに対し、ホエーリングはC-suite（経営幹部）やそれに類する上級管理職のみを標的とします。攻撃者はより大きな利益を期待しているため、ホエーリング攻撃は一般的なBEC詐欺よりもさらに手の込んだものになり、長期間にわたって粘り強く仕掛けてくる場合もあります。

さらに、ホエーリングはメールだけでなく、他の手段でも行われます。実際、マルチチャネル攻撃（複数の経路を使用した攻撃）があらゆる種類のフィッシング攻撃でより一般的になっています。

ホエーリング攻撃を防ぐ方法

ホエーリング攻撃では、攻撃者が十分な時間と手間をかけるため、DMARC、DKIM、SPFといった基本的なメール認証チェックをすり抜けるように細工している場合があります。もちろん、これらの対策は重要ですが、それだけに頼るのは十分ではありません。また、ホエーリング攻撃で送られてくるメッセージには悪意のあるリンクや添付ファイルを含まないことが多く、さらに既知の悪意のあるIPアドレスを避けて送信されることもあります。そのため、従来型のセキュアメールゲートウェイでは検知できない場合があります。

こうした理由から、潜在的なホエーリング攻撃を検知するためには、送信者の評判やメッセージから読み取った感情、会話の文脈など、その他の要素を分析するメールセキュリティフィルターが（BEC対策と同様に）不可欠です。通常とは異なる依頼やメッセージは、不審なものとしてフラグを立て、調査またはブロックします。

そして、潜在的なフィッシングキャンペーンを見極める方法と、大きな取引を完了する前にメールまたはメッセージの送信者とされる人物に確認する方法について組織内のすべての従業員、契約社員、経営陣に定期的に訓練する必要があります。

Cloudflare Email Securityが、ホエーリングやBEC攻撃を未然に防ぐ方法についてご覧ください。

 

よくある質問

ホエーリングとは何か？標的になりやすい人物は？

ホエーリングは（ホエールフィッシング）は、会社の社長や役員などの経営幹部を狙った特殊なデジタル攻撃です。広くばらまかれる一般的なフィッシングとは異なり、十分な事前調査を行い、権限やより大きなアクセス権を持つ人物をピンポイントで狙う、非常に個別化された攻撃です。

ホエーリング攻撃と通常のビジネスメール詐欺との違いは？

どちらの方法もソーシャルエンジニアリングを使用しますが、ホエーリングは特に、組織内の目立つ高位の人物を標的にします。潜在的な報酬が大きいため、役職を絞らずあらゆる従業員を標的とする一般的なBEC攻撃よりも、ホエーリング攻撃は粘り強くより手の込んだ内容で仕掛けられることを特長とします。

ホエーリング攻撃の主な目的は？

詐欺師は、多額の金銭をだまし取る事、安全なシステムに侵入すること、機密性の高い企業データを盗むことを目的にホエーリング攻撃を仕掛けます。

攻撃者が信頼を築くために使用するソーシャルエンジニアリングの手法は？

攻撃者は、悪意のある依頼をする前に、場合によっては数週間から数か月にわたって標的とやりとりを重ね、信頼を獲得します。実際には、個人情報を盛り込んだり、特定の人物の文体を模倣したり、ディープフェイクを使用したり、侵害されたアカウントを使用して、本物のように見せかけることがあります。

詐欺師が標的を操る際に演出する緊急性はどのようなものか？

ホエーリングに使用されるメッセージでは、法的調査、企業の合併、データ漏洩などの重大な出来事に依頼内容を関連付けて、緊急性を煽ります。これにより、経営幹部は「今すぐ対応しなければ問題に発展する」と思い込まされて緊急対応を促されます。