フィッシング攻撃対策を効果的に実施するための注意ポイント

この記事をtweetする このエントリーをはてなブックマークに追加

アナタの知識が会社を救う! セキュリティ強化塾

フィッシング攻撃対策を効果的に実施するための注意ポイント

2017/09/19


「保護のため、Apple IDは自動的にロックされます」「Apple ID通知の再確認」「Appleからの領収書です」。このようなタイトルで届いたメールは、いかにも緊急性があるような気がして、ついついメール本文のURLをクリックして内容を確認したくなる。だが、絶対にクリックしてはならない。

フィッシング攻撃対策

急激に増えているフィッシング攻撃

 JPCERTコーディネーションセンター(JPCERT/CC)が運営する「フィッシング対策協議会」によると、2017年8月のフィッシング報告件数は1100件に上っている。これは前月比でほぼ倍の数値で、フィッシングによる攻撃の激しさが理解できる数値だ。

図1 フィッシング報告状況
図1 フィッシング報告状況
月次報告書(2017年8月)
資料提供:フィッシング対策協議会

 冒頭で紹介したアップルをはじめ、有名なブランドやECサイトをかたるメールが多数登場している。同報告によれば、2017年8月だけで24種類のブランド名が使われた。

 一般ユーザーに向けての注意喚起も活発に行われている。例えば、内閣サイバーセキュリティセンター(NISC)が運営するTwitterアカウント「内閣サイバー(注意・警戒情報)」でも頻繁にフィッシング関連の投稿が行われている。

 システムの脆弱(ぜいじゃく)性を突くだけでなく、「人間の脆弱性」を攻撃するこのフィッシングに対して、私たちはどのような対策を打てるのだろうか。フィッシングに「だまされないため」、そしてフィッシングで「だまさないため」に、今できることを再認識してみよう。


1

「フィッシングに気を付ける」だけでは限界だ

 フィッシングに対しては、これまでの一般的な対策として「不審なメールは開かない」「不審なURLはクリックしない」「不審なアプリケーションはインストールしない」といったものが挙げられる。

 偽のWebサイトへと誘導し、クリックさせたりログインさせたりするようなフィッシングでは、正規のWebサイトとの違いを判別できればいい。しかし、その判別は日に日に難しくなっている。

 フィッシングの入り口となるメールについては、不幸中の幸いであるが、「日本語」という壁が存在する。海外の攻撃者が日本語メールを書こうとすると、どうしても不自然な内容になり、そこから怪しいという違和感を感じとれるだろう。

 だが、悪意のある者たちは攻撃の成功確率を上げるため、その部分にもコストをかけるようになってきた。日本語が流ちょうな人材に“業務”を委託するわけだ。その結果、攻撃メールの文面がカイゼンされている。そして、誘導先の偽サイトは、ネタ元のサイトをコピーして作ることが多く、見た目を同一にすることは難しくない。  

 このような状況で、次の判断材料となり得るのがURLだ。例えば、Webサイトの開設者が「EV SSL」を利用していれば、アドレスバーには組織名そのものが表示される。当然だが、偽物がフィッシングサイトを作成したとしてもEV SSLまでを偽装することは難しいだろう。

 ただし、ネタ元となったWebサーバ自体に脆弱性が残されている場合は話が別だ。オリジナルのWebサイト自体が改ざんされ、サーバ内に不正なページを作成されたり、正規のページに不正なスクリプトが埋め込まれたりしているリスクは否定できない。

 このように高度化するフィッシングに対しては、もはや「気を付ける」だけでは対処ができているとは言い切れない。もちろん、目視で判断できるようなレベルの低いフィッシングも多数残されているので、「気を付ける」ことも引き続き重要なポイントであることは間違いないが、今後、どのように対応すべきだろうか。

セキュリティ情報局にご登録頂いた方限定で「フィッシング攻撃対策を効果的に実施するための注意ポイント」の続きがご覧いただけます。

「セキュリティ情報局」とは、週1回のメールとサイト上で、セキュリティの基礎知識や最新情報などの記事をご希望の方にのみご提供する登録制のサービスです。「セキュリティ登龍門50」では、実際に起こったセキュリティに関する被害例やその対策、統計データなどを紹介します。また「セキュリティWatchers」では、最新事情や海外の状況などを専門家がレポートします。


関連キーワード

フィッシング攻撃対策/フィッシング攻撃対策を効果的に実施するための注意ポイント」関連の情報を、チョイスしてお届けします

※キーマンズネット内の「フィッシング攻撃対策」関連情報をランダムに表示しています。

「メールセキュリティ」関連の製品

フィッシングメールの社員の「うっかりクリック」を防ぐ脅威情報サービスの実力 【新日鉄住金ソリューションズ】 メールセキュリティソリューション Proofpoint 【日商エレクトロニクス】 標的型メール攻撃対策ソリューション Active! zone 【クオリティア】
メールセキュリティ メールセキュリティ メールセキュリティ
フィッシングメールの社員の「うっかりクリック」を防ぐ脅威情報サービスの実力 クラウド型サンドボックスによりメールを介した未知の標的型サイバー攻撃を検知し、悪意ある添付ファイルやURLをブロックする「Targeted Attack Protection」などを提供。 メールによるウイルスや標的型攻撃を無害化するソリューション。業務上必要なメール運用の妨げとならないような機能を搭載し、安全性と業務効率を両立する。

「メールセキュリティ」関連の特集


2016年4〜6月期に企業が受信した攻撃メールの多くは、違和感のない日本語だったとIPAが報告してい…



2010年度、前年比9.5%増で176億円であった「メール総合セキュリティ」市場より、SaaS型のシ…



やはり純国産を続けるのは厳しいのか……? キヤノンITソリューションズがこれまで19年間独自開発を続…


「メールセキュリティ」関連のセミナー

サイバーレンジトレーニングシステムによる演習【標的型攻撃編】 【ニュートン・コンサルティング】 締切間近 

開催日 8月28日(火)   開催地 東京都   参加費 有料 14万400円(税込)

攻撃者はどのようにサイバー攻撃を仕掛けるか?実機を操作しながら行うサイバーレンジトレーニングシステムを通して、インシデントレスポンスを学ぶことができます。本を読…

実事例やハッキングデモから学ぶサイバーセキュリティ対策 【ニュートン・コンサルティング】 締切間近 

開催日 8月29日(水)   開催地 東京都   参加費 有料 3万2400円(税込み)

サイバーセキュリティへの取り組みは数年前に比べると格段に向上してきているものの、被害を受けて記者会見沙汰になってしまう企業も少なくないのが近年の現状としてありま…

サイバー攻撃対策における人工知能(AI)の活用 【アズジェント】 締切間近 

開催日 8月21日(火)   開催地 東京都   参加費 無料

特定企業を狙う標的型攻撃の手口は日に日に巧妙になってきています。 外部に流出しているクレデンシャル情報などを元に業務内容をモニタリングし、正規の取引先を装ったメ…

「エンドポイントセキュリティ」関連 製品レポート一覧

このページの先頭へ

Myリストへ

この記事をtweetする このエントリーをはてなブックマークに追加


この記事に掲載している情報は、掲載日時点のものです。変更となる場合がございますのでご了承下さい。


ページ: 1 | 2 | 3 | 4


30009763


IT・IT製品TOP > エンドポイントセキュリティ > メールセキュリティ > メールセキュリティのIT特集 > 特集詳細

このページの先頭へ

キーマンズネットとは

ページトップへ