Phishing

フィッシングとは

フィッシングの仕組み

攻撃ライフサイクル

1. 標的を選ぶ: 被害者を特定する（無差別または標的型）

2. 誘い文句を作る: 信じやすいメッセージやウェブサイトを作成する

3. ドメインを準備する: 偽のドメイン名を登録する

4. 配布する: メール、メッセージ、広告を送る

5. 認証情報を取得する: 被害者の情報を収集する

6. 悪用する: 盗んだデータを使う、または売却する

よくあるフィッシング経路

ドメインベースのフィッシング手法

タイポスクワッティング

正規ドメインの綴りを変えたものを登録します。

Legitimate: amazon.com
Phishing:   amaz0n.com, amazom.com, amaazon.com

ホモグリフ攻撃

見た目が似た文字を使います。

Legitimate: apple.com
Phishing:   аррӏе.com (Cyrillic characters)

サブドメインのトリック

正規ブランドをサブドメインとして置きます。

Legitimate: paypal.com
Phishing:   paypal.com.malicious-site.com
            paypal-secure.fakesite.com

コンボスクワッティング

ブランド名と一般的な語を組み合わせます。

paypal-login.com
amazon-support.com
netflix-billing.com

フィッシング攻撃の種類

大量フィッシング

• 数千人の受信者に送る
• 一般的な文面を使う
• 成功率は低いが量が多い
• 配布にボットネットを使うことが多い

スピアフィッシング

• 特定の個人を標的にする
• 個別化した内容を使う
• 成功率が高い
• 被害者の情報を調査している

ホエーリング

• 役員や価値の高い個人を標的にする
• 高度なソーシャルエンジニアリングを使う
• 業務上の依頼を伴うことが多い
• 金額や影響の大きい金融詐欺になる

クローンフィッシング

• 正規メールを複製する
• 添付ファイルやリンクを差し替える
• 過去の通信を参照する
• 続きの連絡に見せる

フィッシングを見分ける

危険な兆候

1. 緊急性を強調する文面: 「今すぐ対応しないとアクセスを失います」

2. 一般的な呼びかけ: 名前ではなく「お客様各位」と書く

3. 不審なURL: ポインターを合わせて実際の宛先を確認する

4. 不自然な文法: 綴りや書式に誤りがある

5. ブランドの不一致: ロゴやデザインに一貫性がない

6. 通常と異なる要求: メールでパスワードを求める

7. 不審な送信者: メールのドメインが企業と一致しない

技術的な指標

# Check email headers for:
SPF/DKIM/DMARC failures
Mismatched From: and Reply-To:
Recent domain registration dates
Non-HTTPS login forms

防御対策

個人向け

1. URLを慎重に確認する: 認証情報を入力する前にドメインを確認する

2. パスワードマネージャーを使う: 偽サイトでは自動入力されない

3. MFAを有効にする: パスワード以外の追加の防御層を設ける

4. フィッシングを報告する: 他の人を守るのに役立てる

5. ソフトウェアを更新する: セキュリティパッチで悪用を防ぐ

組織向け

1. メール認証: SPF、DKIM、DMARCを実装する

2. ドメイン監視: 似た名前の登録を監視する

3. 従業員教育: 定期的なフィッシング啓発プログラムを実施する

4. インシデント対応: 認証情報が侵害された場合の計画を立てる

5. 防御的なドメイン登録: よくある綴り違いを登録する

事業への影響

• フィッシング攻撃1件あたりの平均費用: 476万ドル（IBM 2023）
• データ侵害の90%にフィッシングが関係する
• 認証情報の窃取がさらなる攻撃につながる
• データ流出には規制上の罰則がある

フィッシングは今も最も広範で効果的なサイバー脅威の一つです。そのため、ドメインベースの検出とメール認証は個人と組織の双方に不可欠な防御策です。