【ITニュース解説】フィッシング対策協議会、設立20周年記念セミナーを11月開催

フィッシング対策協議会が設立20周年を記念したセミナーを開催するというニュースは、インターネット社会の安全を考える上で非常に重要な意味を持つ。システムエンジニアを目指す者にとって、このニュースの背景にある「フィッシング」というサイバー攻撃の仕組みと、それに対抗するための技術を理解することは不可欠である。フィッシングとは、実在する金融機関、ECサイト、公的機関などを装った偽の電子メールやSMSを不特定多数に送りつけ、本物そっくりの偽サイトに誘導し、ID、パスワード、クレジットカード情報といった重要な個人情報を盗み出す詐欺行為である。その手口は年々巧妙化しており、私たちのデジタルライフにおける深刻な脅威となっている。

このような脅威に対抗するため、2005年に設立されたのがフィッシング対策協議会である。この協議会は、特定の企業や団体だけでなく、ISP（インターネットサービスプロバイダ）、金融機関、EC事業者、セキュリティベンダー、そして国の関係省庁といった、いわば官民が連携してフィッシング詐欺に立ち向かうための組織だ。主な活動は、国内外で発生しているフィッシング詐欺に関する情報を収集・分析し、ウェブサイトやメールマガジンを通じて一般利用者や事業者へ迅速に注意喚起を行うこと、そしてフィッシング詐欺を防止するための技術的な対策を検討し、その普及を促進することである。今回の20周年記念セミナーは、これまでの活動の成果を振り返りつつ、生成AIの悪用など新たな脅威が登場する中で、今後の対策を議論する重要な場となる。

システムエンジニアが理解すべきフィッシング攻撃の技術的な側面は多岐にわたる。攻撃者はまず、ターゲットを騙すための偽のメールを作成する。その際、送信元のメールアドレスを偽装する「スプーフィング」という技術が用いられることが多い。これにより、受信者は正規の企業から送られてきたメールであると誤信してしまう。そして、メール本文に記載されたリンクをクリックさせ、偽サイトへと誘導する。この偽サイトは、ドメイン名を本物と酷似させたり、SSL/TLS証明書を取得してブラウザのアドレスバーに鍵マークを表示させたりすることで、利用者を安心させようと試みる。利用者がそこでIDやパスワードを入力すると、その情報は暗号化されることなく攻撃者のサーバーに送信され、盗まれてしまう。

こうした攻撃に対し、防御側も様々な技術を開発してきた。特にメールの信頼性を高めるための「送信ドメイン認証技術」は、システムエンジニアが知っておくべき重要な技術群である。代表的なものにSPF、DKIM、DMARCがある。SPF（Sender Policy Framework）は、ドメインのDNSサーバーに、そのドメインからメール送信を許可されたサーバーのIPアドレスを登録しておく仕組みである。受信側サーバーは、メールを受信した際に送信元IPアドレスとSPFレコードを照合し、許可されていないサーバーからのメールであれば、なりすましの可能性が高いと判断できる。DKIM（DomainKeys Identified Mail）は、送信するメールに電子署名を付与する技術だ。受信側は、その署名をDNSサーバーに公開されている公開鍵で検証することで、メールが送信途中で改ざんされていないこと、そして正規のドメインから送信されたことを確認できる。そしてDMARC（Domain-based Message Authentication, Reporting, and Conformance）は、SPFとDKIMの認証結果を統合的に扱い、認証に失敗したメールをどう処理するか（受信を拒否する、迷惑メールフォルダに振り分けるなど）を送信側がポリシーとして指定できる仕組みである。これらの技術を適切に導入・設定することは、自社を騙るなりすましメールを防ぎ、企業のブランドイメージを守る上で極めて重要となる。

また、Webサイト側での対策も不可欠だ。たとえIDとパスワードが漏洩したとしても、アカウントへの不正アクセスを防ぐ最後の砦となるのが「多要素認証（MFA）」である。これは、パスワードという「知識情報」に加え、スマートフォンアプリの認証コードや物理的なセキュリティキーといった「所持情報」、あるいは指紋や顔認証などの「生体情報」を組み合わせて本人確認を行う仕組みだ。システム開発においてMFAを標準的な機能として実装することは、ユーザーの資産と情報を守るための責任と言える。

フィッシング対策協議会が20年にわたり活動を続けてきたという事実は、フィッシングという脅威が決してなくならず、攻撃者と防御側の技術的なせめぎ合いが延々と続いていることを示している。システムエンジニアを目指す者は、単にプログラムを書いたり、サーバーを構築したりするだけでなく、自らが作り出すシステムがどのように悪用される可能性があるのかを常に意識し、セキュリティを考慮した設計・開発・運用を行う能力が求められる。フィッシング対策協議会のような組織の活動や、そこで共有される最新の脅威動向、対策技術に常に注意を払い、学び続ける姿勢が、信頼されるエンジニアになるための重要な一歩となるだろう。