フィッシングとは
フィッシングとは、ランサムウェアの展開、既存のアカウントの認証情報の窃盗、不正なアカウントを新たに開設するために必要な情報の取得、または単なるエンドポイントの侵害を意図して、信頼できる個人や組織になりすますサイバー攻撃のことです。悪意のあるフィッシングリンクを1回でもクリックすると、こうした問題が発生する可能性があります。
フィッシングメールとは
最も一般的なフィッシング攻撃では、フィッシングメールが使用されます。毎日数千億通のEメールが送受信されているため、本物のメールとフィッシング目的のメールを見分けることが困難になっています。
フィッシングメールの詳細な分析
フィッシングメール攻撃の例
通常、フィッシングメールには次のような明らかな兆候が1つ以上含まれています。
- 機密の情報を要求する
- 異なるドメインを使用している
- ドメインと一致しないリンクを含む
- 無用な添付を含む
- 個人に宛てられていない
- 文章や文法がおかしい
- 受信者をパニックに陥れようとする
1. 機密の情報を要求する
合法的な企業は、Eメールでクレジットカード情報、マイナンバー、またはパスワードを求めることは絶対にありません。そのような要求がある場合は、詐欺の可能性が高いと考えられます。次のようなEメールには注意してください。
ソース – https://cba.ca/Assets/CBA/Images/Article-detail-images/updateBillingEmail-en.png
2. 異なるドメインを使用している
多くの場合、フィッシング詐欺は、合法的な企業になりすまそうとします。「送信元」のフィールドで検証済みドメインからEメールが送信されていることを確認してください。例えば、Amazonからのメッセージは、@amazon.comから送信されます。この例にあるような、@clients.amazon.orgから送信されることはありません。
ソース – https://lts.lehigh.edu/sites/lts.lehigh.edu/files/phishing20130508.jpg
3. ドメインと一致しないリンクを含む
前述のAmazonのフィッシングの例では、リンクが実際にはAmazonのドメインに移動しないこともわかります。
リンクにカーソルを合わせて、そのリンクから想定どおりのサイトに移動できることを確認してください。また、URLの先頭にhttps://があることを確認し、HTTPSを使用していないリンクはクリックしないでください。
4. 無用な添付を含む
合法的な企業は、Eメールにファイルを添付することも、Eメールからファイルをダウンロードさせることもありません。代わりに、安全にドキュメントをダウンロードできるサイトに誘導します。
有名な組織からのEメールと思われる場合でも、その添付ファイルは開かないでください。
5. 個人に宛てられていない
合法的に活動している企業、つまり以前ショッピングしたことのある企業は、顧客の名前を把握しています。合法的な企業は、把握している個人の名前を使用します。自社の顧客のことを「貴重なお客様」、「お客様各位」、または単に「こんにちは」などと呼ぶことはありません。
6. 文章や文法がおかしい
公的機関は、広報担当の専門的なコピーライターを採用しています。明らかな誤字脱字や文法の間違いがあるEメールを送信することはありません。次のAppleのフィッシングメールの例をご覧ください。
ただし、ハッカーは単に誤字脱字が多いというわけではありません。攻撃者は、意図的に文法的な誤りを利用して、簡単に標的になる警戒していないユーザーを選び出していることが疑われます。
7. 受信者をパニックに陥れようとする
ほとんどのフィッシング攻撃では、一刻を争うような緊急の行動を求めることで受信者をパニックに陥れようとします。この目的は、受信者に緊急の値引きや報酬を逃すと思わせたり、処罰を受ける恐れがあると心配させたりすることにあります。
受信者に悪意のあるリンクや添付ファイルをあわててクリックさせるために攻撃者が使用する一般的な言い回しや手口を以下に示します。
- 不審なアクティビティやログイン試行が確認されました
- 口座情報またはお支払い情報に問題があります
- 個人情報を確認する必要があります
- 支払いを行う必要があります
- 払い戻しに登録するか、払い戻しを受ける権利があります
- 製品が無料になるクーポンを差し上げます
- 偽の注文確認書が発行されました
以下の例では、異常なアカウントのアクティビティが原因で個人情報を更新を求める一般的な攻撃者の要求を示しています。
ソース – https://en.wikipedia.org/wiki/Phishing#/media/File:PhishingTrustedBank.png
フィッシングメールにこれらの共通の兆候がある場合は、リンクをクリックしたり、添付ファイルを開いたりしないでください。政府のフィッシング対策ワーキンググループ（reportphishing@apwg.org）にEメールを転送し、すぐにEメールを削除してください。
