フィッシング詐欺って？
フィッシング詐欺のフィッシングはfishingではなくphishingである。fishingと洗練されたという意味のsophisticatedから作られた造語である。
フィッシングメールやフィッシング詐欺は、サイバー犯罪者が個人を騙して、ユーザー名、パスワード、クレジットカード番号、社会保障番号などの機密情報を漏えいさせる犯罪行為のことです。すでに90年代半ばには観測されて現在まで30年ほどずっと続いているかなり厄介な攻撃手法です。
フィッシングメールはあたかも合法的な組織や既知の連絡先からのものであるかのように、かなり巧妙に見せかけてくるので注意が必要となります。
多くの場合、正規のウェブサイトに似せた詐欺的なウェブサイトへのリンクや、悪意のあるソフトウェアが埋め込まれた添付ファイルが含まれています。もしそうした悪質なリンクをクリックしたり、添付ファイルをダウンロードしたりすると個人情報を収集するための詐欺サイトに誘導されたり、システムがマルウェアに感染したりするので要注意です。
フィッシングメールによく見られる特徴
緊急または脅迫的な表現： 口座が閉鎖される、残高があるなどの警告が含まれている場合があり、受信者に焦らせて早急な対応を促すもの。
スペルミスや文法の間違い： 文法の不備やスペルミスはフィッシングメールの兆候であることが多い。
URLの不一致： リンクにカーソルを合わせると、そのウェブアドレスが送信者と思われる人物と異なることがあります。
個人情報の要求： 合法的な組織は通常、電子メールで機密情報を要求することはありません。
これらの特徴を覚えておくのが重要です。そしてもっと良いと思われる対策があります。それは、URLを不用意に押さないこと、添付ファイルをダウンロードしないこと。この二つのことを自分の原則とすると良いでしょう。
相手の身元や目的が確認できていたり、誰かが送るよと言ったのがしっかり確認できる場合だけ、そうしたダウンロードやファイル開封を例外的に行うという意識の転換です。(迷惑な話ですが仕方ありません。)
フィッシングの種類
フィッシング詐欺にも種類があります。
スピアフィッシング: 詐欺師が特定の個人をターゲットにメールをカスタマイズするフィッシング攻撃。
クローン・フィッシング：信頼できる組織からの正当なメールを複製し、その内容やリンクを悪意のあるものに置き換える。
ホエーリング： スピアフィッシングのサブセットで、CEOやCFOのような有名人を狙う。
ファーミング： ユーザーを正規のウェブサイトから不正なウェブサイトへ誘導する。
フィッシングに対する一般的防御策
現状考えられる一般的な方策としては以下のようなものが挙げられます。
フィッシング・メールを特定し、隔離するメール・フィルター。
フィッシングを見分けるためのユーザー教育やトレーニング
二要素認証(2FA)によるセキュリティの強化。
セキュリティの脆弱性を修正するため、ソフトウェアを定期的に更新する。
なくならないフィッシング詐欺
フィッシングは、技術的な脆弱性よりもむしろ人為的なミスに依存しています。そのためインターネット初期からある古典的な攻撃でありながら、依然として最も蔓延している攻撃形態の1つなのである。
実際、FBIの調査でも他のコンピュータ犯罪の件数を上回る報告がされています。したがってこの種の古典的な詐欺から身を守るためには、意識と教育という、こちらも古典的なトレーニングが未だに重要な要素となるのです。
フィッシング詐欺の事件ケース ソニーも被害に
ソニー・ピクチャーズの漏洩事件
2014年に発生したソニー・ピクチャーズのサイバー攻撃では、ハッカーがフィッシングメールを使用して同社のコンピュータネットワークに侵入しました。
この攻撃は映画『インタビュー』の公開に関連していてハッカーグループ「平和の守護者（Guardians of Peace）」によって実行されました。
この攻撃により、100テラバイト以上の機密データが漏洩し、ソニーは大きな損失を被りました
ハッカー側はApple IDの確認を装った偽のメールを送信し、ソニーの幹部を含む多くの従業員がこのメールに騙されてしまいました。これによって彼らのApple ID情報が盗まれ、その後、同じパスワードを使用してソニーのネットワークにアクセスすることが可能になってしまったのです。
この攻撃は、単にデータの漏洩だけでなく、ソニーの評判にも深刻な影響を及ぼしました。漏洩した情報には、従業員の個人情報や未公開の映画、内部の機密メールが含まれていてソニーは約1億5000万ドルもの損失を被ったとされています。
ノルデア銀行事件
ノルデア銀行は2007年に発生したフィッシング攻撃によって顧客のオンラインバンキングアカウントが侵害されました。この攻撃ではトロイの木馬が含まれたスパムメールが顧客に送信され、約250人の顧客が影響を受けました。
攻撃者は顧客からの情報を盗むために偽のセキュリティプログラムをダウンロードさせる手法を用いました。
この攻撃は顧客が適切なセキュリティ対策を講じていなかったことも一因とされる見方もあり、特にウイルス対策ソフトウェアを使用していなかった顧客が多かったことが影響したようです。
