フィッシングは、あらゆる通信媒体で実行できます。フィッシングの最も一般的なタイプには、次のようなものがあります。
フィッシングといえば、メールを思い浮かべる人が多いのではないでしょうか。 メールフィッシング は、それ自体がいくつかの異なるタイプに分かれています。
音声フィッシング攻撃では、対象となる被害者に電話をかけて、特定の行動を実行するように説得することを試みます。発信者は、未払いの請求書を照会する回収機関や、ユーザーのコンピューターにアクセスする必要がある「テクニカルサポート」の誰かを装うことができます。
SMSフィッシング攻撃では、悪意のある当事者は、被害者にリンクをクリックするか、メッセージに返信するように求めるテキストメッセージを送信します。これらの攻撃では、宅配便業者や政府のWebサイトが送信するようなSMSメッセージを偽造して悪用し、場合によっては送信元の番号を複製することさえあります。
ページハイジャック攻撃では、攻撃者がWebサイトのクローンを作成し、被害者をそのWebサイトに誘導します。これは、有料広告を通じて偽のページへの大量のトラフィックを生成しようとする広範な攻撃、またはページハイジャックを他の形態のフィッシングと組み合わせた、標的を絞った攻撃となる可能性があります。
この攻撃は、不十分な設定のカレンダーのデフォルト設定を利用して、ユーザーのオンラインカレンダーにフィッシングリンクを仕掛けます。多くの人は、メール内のフィッシングリンクに注意するように訓練されていますが、悪意のあるリンクをカレンダーに挿入することも可能であり、これらの攻撃が成功する可能性が比較的高いことに気づいていない可能性があります。
メッセージの配信方法は、フィッシングの一部にすぎません。また、詐欺がどのように機能するかを認識することも重要です。成功したフィッシングメールでは、メールフィルターをすり抜けて、受信者を騙してリンクをクリックさせたり、目的の行動を実行させたりするための技法がいくつか使われています。
リンク操作は、電子メール内のリンクを、攻撃者がなりすましているWebサイトのアドレスに見せかけるために使用されます。ただし、ユーザーがリンクをクリックすると、攻撃者のWebサイトに移動します。一部の加害者はさらに一歩進んで、通常とは異なる文字や長くて複雑なアドレスを使用して、トップレベルドメインとサブドメインの違いを理解していない可能性のあるユーザーをだます。
攻撃者は、多くの場合、画像を使用してフィッシングやスパムのフィルターを回避します。多くのメールプラットフォームやソフトウェアには、スパムや悪意のあるメールをブロックするためのフィルターが備わっていますが、これらのフィルターが必ずしも画像の処理に適しているわけではありません。
ソーシャルエンジニアリングには、被害者を特定して信頼を築くことが含まれます。たとえば、あるユーザーがメールに返信することでフィッシング攻撃の第一段階に陥った場合、攻撃者は一度にすべての情報を要求するのではなく、もっともらしい言い訳を通じて個人情報を少しずつ徐々に知らせるよう要求します。
フィッシング攻撃の試みには、スペルや句読点、文法上の誤りを多く含む比較的粗雑なメールメッセージから、特定の標的に向けて慎重に作成されたメッセージまで、さまざまなものがあります。注意すべき一般的な事項には、次のようなものがあります。
企業は、標的型フィッシング攻撃から自社を保護するうえで、セキュリティポリシーの改善や、サイバー攻撃の特定と回避に関する従業員向けトレーニングの実施など、さまざまな予防策を検討する必要があります。次のような有用な予防措置があります。
可能であれば、ネットワークレベルで積極的なメールフィルタリングとコンテンツ編集を有効にします。既知のマルウェアや追跡サイトをブロックすることは、フィッシングの脅威を軽減するうえで大いに役立ちます。ユーザーのアドレス帳にないアドレスから送信されたすべてのメールに警告を表示することを検討してください。
ユーザーが安全でないWebサイトや既知のフィッシングWebサイトに誘導された場合にアラートを表示するように設定されたブラウザを使用しましょう。ユーザーがこれらのアラートを無効にしたり無視したりできないようにします。
パスワードログインに加えて、追加のセキュリティ機能を使用します。たとえば、重要なシステムには生体認証セキュリティを採用できます。さらに、ログインプロセスの一環として「コンフィデンス画像」を使用すると、フィッシングサイトにアクセスしている可能性をユーザーに警告できます。
重要なシステムに対してMFAを有効にすることで、フィッシングやその他の形態のサイバー攻撃のリスクを軽減できます。SIMスワップ攻撃ではSMS認証が迂回される可能性があるため、SMSベースのマルチファクター認証よりもハードウェア認証の使用を検討してください。
企業に対するフィッシング攻撃、特にネットワークをランサムウェアに感染させるルートを攻撃者に提供する攻撃により、企業は莫大なコストを被る可能性があります。Veeamが提供するバックアップおよび復元のソリューションとランサムウェア保護機能を活用し、貴社の重要なデータを保護する方法をご覧ください。