【ITニュース解説】Why attackers are moving beyond email-based phishing attacks

フィッシング攻撃は、インターネットを利用する人にとって最も身近で危険なサイバー攻撃の一つだ。これは、偽のウェブサイトやメッセージを通じて、ユーザーのIDやパスワード、クレジットカード情報などの重要な情報をだまし取る手法を指す。これまでフィッシング攻撃の主流はEメールだったが、近年、その手口は大きく変化し、Eメールに留まらない多様なチャネルへと拡大している。この背景には、Eメールセキュリティ技術の向上や、ユーザーの警戒心が高まったことなどがある。攻撃者は常に新しい抜け道を探しており、より効果的に標的をだますため、ソーシャルメディア、チャットアプリ、さらには悪意のある広告といった新たなプラットフォームを悪用するようになった。

ソーシャルメディアを通じた攻撃では、攻撃者はFacebook、X（旧Twitter）、Instagramなどのプラットフォームを悪用し、正規のアカウントを装ったり、偽のアカウントを作成したりする。例えば、有名企業のサポートアカウントを偽装し、ユーザーからの問い合わせに対して、偽のサポートサイトへ誘導するリンクを送るといった手口だ。また、人気イベントの抽選キャンペーンや、著名人のなりすまし投稿を通じて、魅力的な報酬をちらつかせ、個人情報を入力させるようなケースも増えている。これらの手口は、ソーシャルメディア特有の「信頼」や「拡散」の仕組みを悪用し、多くのユーザーに情報を届けることを可能にする。ユーザーは、普段利用しているプラットフォームでの情報であるため、心理的に警戒心が薄まりやすい。

チャットアプリを通じた攻撃も増加している。Slack、Microsoft Teams、WhatsAppなどのビジネス向けや個人向けのチャットアプリが標的だ。攻撃者は、従業員や知人のアカウントを乗っ取り、そのアカウントから他のユーザーに悪意のあるリンクやファイルを送る。送り主が信頼できる人物であるため、ユーザーが警戒せずにリンクをクリックしたり、ファイルを開いたりする可能性が高くなる。特に、企業内で利用されるチャットアプリでは、業務連絡に偽装したメッセージが送られてくることで、従業員がだまされやすくなる傾向がある。これにより、企業の内部ネットワークへの侵入経路として悪用されるリスクも高まる。

さらに、インターネット上の広告も、フィッシング攻撃の道具として利用されるようになった。検索エンジンの検索結果に表示される広告や、ウェブサイトに埋め込まれた広告の中に、正規のサービスや製品を装った偽の広告が紛れ込んでいることがある。ユーザーがこれらの広告をクリックすると、本物そっくりの偽サイトに誘導され、そこで認証情報や個人情報を入力してしまうことになる。特に、正規のウェブサイトのドメイン名と酷似したURLを用いることで、ユーザーが違いに気づきにくくする手口が用いられる。このような広告は、特定のキーワードで検索しているユーザーを狙い撃ちするため、効果的にだますことが可能だ。

これらの多様なチャネルを用いたフィッシング攻撃の最終的な目的は、依然としてユーザーの認証情報（ID、パスワード）や金融情報などを窃取することにある。しかし、最近の攻撃はより巧妙になっており、多要素認証（MFA）を導入しているシステムに対しても、そのMFAを迂回しようとする「MFAバイパス」の手法も用いられるようになってきた。これは、フィッシングサイトで入力された認証情報をリアルタイムで正規サイトに転送し、そこで生成されたMFAコードやセッションクッキーなどを盗み取ることで、正規のMFAを突破しようとするものだ。このような攻撃は、ユーザーが入力した情報が即座に悪用されるため、被害の拡大が非常に速いという特徴がある。

システムエンジニアを目指す皆さんにとって、このようなフィッシング攻撃の進化は、セキュリティ設計や運用を考える上で非常に重要な課題となる。単にEメール対策だけを考えていれば良い時代ではなく、企業内の様々なコミュニケーションツールや、従業員が日常的に利用するソーシャルメディア、さらには広告プラットフォームに至るまで、広範囲にわたるセキュリティ対策を検討する必要がある。システム全体のセキュリティ強度を高めるためには、攻撃者がどの経路から侵入を試みるかを常に想定し、多層的な防御策を講じることが求められる。

具体的な対策としては、まず従業員へのセキュリティ教育が不可欠だ。不審なメッセージやリンクに対する警戒心を持つこと、二段階認証や多要素認証を積極的に利用することの重要性を繰り返し伝える必要がある。技術的な側面からは、不審なサイトへのアクセスをブロックするセキュリティゲートウェイや、悪意のあるURLを検知・警告するブラウザ拡張機能の利用が有効だ。特に、ウェブブラウザはユーザーがインターネットに接続するための主要なインターフェースであり、フィッシング攻撃が最終的にウェブサイトへのアクセスという形を取ることが多いため、ブラウザ内部での防御は極めて重要になる。最新のセキュリティツールは、ユーザーが意図せずフィッシングサイトにアクセスしようとした場合でも、ブラウザの段階で危険を回避できるような機能を提供している。

システムを設計・構築する立場としては、利用するSaaSアプリケーションのセキュリティ設定を適切に行うこと、シングルサインオン（SSO）を導入して認証の一元化を図ること、そして何よりもユーザー認証の堅牢性を高めるための多要素認証の導入とその適切な運用は必須だ。多要素認証がMFAバイパスによって突破される可能性も考慮し、より強力な認証方式（例：FIDO2/WebAuthn）の採用や、異常なログイン試行を検知するシステムの導入も検討する必要がある。さらに、万が一認証情報が漏洩した場合に備えて、迅速に検知し、対応できる体制を構築することも重要となる。インシデント発生時の対応手順を明確にし、定期的な訓練を行うことで、被害を最小限に抑えることができる。

フィッシング攻撃は、技術的な防御だけでなく、人間の行動や心理に訴えかけるソーシャルエンジニアリングの側面が強い。そのため、システムエンジニアは技術的な知識だけでなく、ユーザーがどのように攻撃にだまされるのか、その心理を理解することも求められる。ユーザーが安全にシステムを利用できるよう、分かりやすいセキュリティポリシーの策定や、セキュリティ機能の導入に際してのユーザビリティの考慮も重要だ。このような多角的な視点を持つことが、今日の複雑なサイバーセキュリティ環境において、安全なシステムを構築し、運用していく上で不可欠な能力となるだろう。