フィッシング攻撃対策を効果的に実施するための注意ポイント

この記事をtweetする このエントリーをはてなブックマークに追加

アナタの知識が会社を救う! セキュリティ強化塾

フィッシング攻撃対策を効果的に実施するための注意ポイント

2017/09/19


「保護のため、Apple IDは自動的にロックされます」「Apple ID通知の再確認」「Appleからの領収書です」。このようなタイトルで届いたメールは、いかにも緊急性があるような気がして、ついついメール本文のURLをクリックして内容を確認したくなる。だが、絶対にクリックしてはならない。

フィッシング攻撃対策

急激に増えているフィッシング攻撃

 JPCERTコーディネーションセンター(JPCERT/CC)が運営する「フィッシング対策協議会」によると、2017年8月のフィッシング報告件数は1100件に上っている。これは前月比でほぼ倍の数値で、フィッシングによる攻撃の激しさが理解できる数値だ。

図1 フィッシング報告状況
図1 フィッシング報告状況
月次報告書(2017年8月)
資料提供:フィッシング対策協議会

 冒頭で紹介したアップルをはじめ、有名なブランドやECサイトをかたるメールが多数登場している。同報告によれば、2017年8月だけで24種類のブランド名が使われた。

 一般ユーザーに向けての注意喚起も活発に行われている。例えば、内閣サイバーセキュリティセンター(NISC)が運営するTwitterアカウント「内閣サイバー(注意・警戒情報)」でも頻繁にフィッシング関連の投稿が行われている。

 システムの脆弱(ぜいじゃく)性を突くだけでなく、「人間の脆弱性」を攻撃するこのフィッシングに対して、私たちはどのような対策を打てるのだろうか。フィッシングに「だまされないため」、そしてフィッシングで「だまさないため」に、今できることを再認識してみよう。


1

「フィッシングに気を付ける」だけでは限界だ

 フィッシングに対しては、これまでの一般的な対策として「不審なメールは開かない」「不審なURLはクリックしない」「不審なアプリケーションはインストールしない」といったものが挙げられる。

 偽のWebサイトへと誘導し、クリックさせたりログインさせたりするようなフィッシングでは、正規のWebサイトとの違いを判別できればいい。しかし、その判別は日に日に難しくなっている。

 フィッシングの入り口となるメールについては、不幸中の幸いであるが、「日本語」という壁が存在する。海外の攻撃者が日本語メールを書こうとすると、どうしても不自然な内容になり、そこから怪しいという違和感を感じとれるだろう。

 だが、悪意のある者たちは攻撃の成功確率を上げるため、その部分にもコストをかけるようになってきた。日本語が流ちょうな人材に“業務”を委託するわけだ。その結果、攻撃メールの文面がカイゼンされている。そして、誘導先の偽サイトは、ネタ元のサイトをコピーして作ることが多く、見た目を同一にすることは難しくない。  

 このような状況で、次の判断材料となり得るのがURLだ。例えば、Webサイトの開設者が「EV SSL」を利用していれば、アドレスバーには組織名そのものが表示される。当然だが、偽物がフィッシングサイトを作成したとしてもEV SSLまでを偽装することは難しいだろう。

 ただし、ネタ元となったWebサーバ自体に脆弱性が残されている場合は話が別だ。オリジナルのWebサイト自体が改ざんされ、サーバ内に不正なページを作成されたり、正規のページに不正なスクリプトが埋め込まれたりしているリスクは否定できない。

 このように高度化するフィッシングに対しては、もはや「気を付ける」だけでは対処ができているとは言い切れない。もちろん、目視で判断できるようなレベルの低いフィッシングも多数残されているので、「気を付ける」ことも引き続き重要なポイントであることは間違いないが、今後、どのように対応すべきだろうか。

セキュリティ情報局にご登録頂いた方限定で「フィッシング攻撃対策を効果的に実施するための注意ポイント」の続きがご覧いただけます。

「セキュリティ情報局」とは、週1回のメールとサイト上で、セキュリティの基礎知識や最新情報などの記事をご希望の方にのみご提供する登録制のサービスです。「セキュリティ登龍門50」では、実際に起こったセキュリティに関する被害例やその対策、統計データなどを紹介します。また「セキュリティWatchers」では、最新事情や海外の状況などを専門家がレポートします。


関連キーワード

フィッシング攻撃対策/フィッシング攻撃対策を効果的に実施するための注意ポイント」関連の情報を、チョイスしてお届けします

※キーマンズネット内の「フィッシング攻撃対策」関連情報をランダムに表示しています。

「メールセキュリティ」関連の特集


 最終回の今回は、前回説明したクライアント型のメール誤送信対策の導入の注意事項に加え、弊社ソリューシ…



過失による情報漏洩の中で大きな割合を占めているメールによる誤送信。このメール誤送信に関する法的なリス…



 前回は、メール誤送信の典型的な例と、なぜ発生するのかについて掘り下げた。今回は、既にメール誤送信対…


「エンドポイントセキュリティ」関連 製品レポート一覧

このページの先頭へ

Myリストへ

この記事をtweetする このエントリーをはてなブックマークに追加


この記事に掲載している情報は、掲載日時点のものです。変更となる場合がございますのでご了承下さい。


ページ: 1 | 2 | 3 | 4


30009763


IT・IT製品TOP > エンドポイントセキュリティ > メールセキュリティ > メールセキュリティのIT特集 > 特集詳細

このページの先頭へ

キーマンズネットとは

ページトップへ