フィッシングやスプーフィング攻撃などのサイバーセキュリティの脅威を警戒し続けることは非常に重要です。この攻撃は、だれもが受ける可能性があります。フィッシング攻撃とスプーフィング攻撃は似ていますが、2つの異なるサイバーセキュリティの脅威です。フィッシングとスプーフィングの違いとそれらがもたらす危険性を理解することで、サイバーセキュリティアウェアネスを高め、企業を保護することができます。

スプーフィングとフィッシング

スプーフィング攻撃はアイデンティティ盗難に似ていますが、フィッシング攻撃は機密情報を盗もうとします。特に、フィッシング攻撃はスプーフィング攻撃から始まる可能性があります。ただし、フィッシングはスプーフィングの一部ではありません。

スプーフィングの定義

スプーフィング攻撃では、脅威アクターは被害者の信頼を得るため、正当な情報源であるように偽装します。スプーフィング攻撃の背後にある意図は、マルウェアをインストールし、取得した情報またはアクセスを使用してさらなる犯罪を組織化することです。スプーフィング攻撃には、次のようなさまざまな形態があります。

• Eメールスプーフィング：攻撃者は、信頼できる連絡先と一致するように「from」フィールドを変更するか、既知の連絡先の名前とEメールアドレスを模倣して、信頼できる送信者に類似のEメールアドレスを作成します。
• ドメインまたはWebサイトのスプーフィング：攻撃者は、既知の企業や個人になりすますように設計された偽のWebサイトまたはEメールドメインを作成します。
• IPスプーフィング：攻撃者は、IPスプーフィングで自分の身元を隠したり、別のユーザーになりすましたりするために、IPアドレスを変更します。
• GPSスプーフィング：攻撃者はデバイスのGPSを変更して、ユーザーの実際の物理的な場所とは異なる場所に登録します。
• 発信者番号通知スプーフィング：攻撃者は、Eメールスプーフィングの方法と同様に、被害者に馴染みのある電話番号に自分の電話番号を偽装します。

フィッシングの定義

フィッシング攻撃は、脅威アクターが悪意のあるリンクを誰かがクリックすることを期待して大量の一般的なメッセージをEメールを介して送信する詐欺です。その目的は通常、認証情報や社会保障番号などの個人情報を盗むことです。フィッシング攻撃の最も一般的な4つの種類を以下に概説します。

• スピアフィッシング：このフィッシング攻撃は、通常、悪意のあるEメールを介して機密情報を盗む目的で個人的な通信を行う特定の個人または組織を標的とします。
• ホエールフィッシング：ホエーリング攻撃は、上級管理職または経営幹部を特に標的として、金銭や情報を盗んだり、さらなるサイバー攻撃を実行するために被害者のコンピューターにアクセスしたりすることを試みるソーシャルエンジニアリング攻撃です。
• 音声フィッシング（ビッシング）：ビッシングは電話で実行されるフィッシング攻撃です。
• SMSフィッシング（スミッシング）：スミッシングとは、通常、悪意のあるアプリやコンテンツをダウンロードするように誘うWebサイトにユーザーを誘導することを目的として、SMSメッセージを介して行われるフィッシング詐欺を指します。

スプーフィングとフィッシングの違い

スプーフィング攻撃とフィッシング攻撃は関連していますが、異なるサイバーセキュリティの脅威であることを理解することは容易です。各脅威の特性をさらに調べると、それらの違いが明らかになります。

• 目的：スプーフィングの目的は誰かのアイデンティティを偽装することであり、フィッシング攻撃の目的は情報を盗むことです。
• 性質：被害者のEメールアドレスまたは電話番号は盗まれるのではなく、模倣されるため、スプーフィングは詐欺とは見なされません。フィッシング詐欺は、情報の窃取を伴うため、詐欺です。
• 方法：スプーフィング攻撃では、被害者のコンピューターに悪意のあるソフトウェアがインストールされます。フィッシング攻撃は、ソーシャルエンジニアリング技術を使用して行われます。

スプーフィングとフィッシングの危険性

スプーフィングとフィッシングの危険性は極めて高いです。少なくとも不便であり、最悪の場合、経済的損失やその他の損害をもたらします。スプーフィングやフィッシングのリスクを理解することは、これらのサイバーセキュリティの脅威を真剣に受け止めるための重要なステップです。

スプーフィングとフィッシングのリスク

スプーフィングやフィッシングなどのサイバー攻撃は、通常、類似する意図を持ち、個々のユーザーからあらゆる規模の企業、さらには政府までさまざまな被害者を標的にします。どちらの攻撃も、個人情報やアカウントの認証情報を盗んだり、金銭を強要したり、マルウェアをインストールしたり、単に混乱を引き起こしたりすることを目的としています。企業やその他の組織を標的にする場合、脅威アクターの目標は通常、知的財産、顧客データ、支払いの詳細など、機密性の高い貴重な企業リソースにアクセスすることです。

企業の観点から見ると、組織のデジタルアセットを保護することは、それらの損失、盗難、破壊のリスクを低減する明らかな利点があります。さらに、会社のシステムや情報のコントロールを失う可能性と、コントロールを取り戻すための身代金の支払いが必要になる可能性を最小化します。サイバー攻撃を防止したり、迅速に修復したりすることで、組織はそうした状況が事業運営に与える潜在的な負の影響も最小限に抑えます。

スプーフィングとフィッシングの関連した危険性

一部のスプーフィング攻撃やフィッシング攻撃は、他の攻撃よりも危険です。異様な攻撃は簡単に見つけることができますが、それ以外はより抜け目のない攻撃です。例えば、スピアフィッシング攻撃は特に危険であり、その特有の性質のために潜在的な被害者を欺く可能性が高くなります。フィッシング詐欺とスプーフィングがどのように連携するかを認識することは、複雑な手法で強化されるサイバーセキュリティ攻撃を見つけるのに役立ちます。スプーフィングを含むフィッシング攻撃は、いくつかの最も危険な脅威をもたらします。

スプーフィングの防止と対処の方法

スプーフィング攻撃から身を守ることは、責任あるオンラインの振る舞いに不可欠です。多くの場合、サイバーセキュリティアウェアネスによるスプーフィング攻撃の検知と防止は比較的簡単です。スプーフィングから身を守るために何をすべきか、何をすべきでないかについては、次のヒントに従ってください。

• 新しいブラウザタブまたは公式アプリからアカウントにログインする。
• パスワードマネージャーを使用する。
• Eメールのセキュリティにはスパムフィルターを使用する。
• サイバーセキュリティソフトウェアに投資する。
• 予期しない電話番号やEメールアドレスが詐欺に関連付けられていないか確認する。
• 可能な限り、相互認証を有効にする。
• 受信者側が送信を要求していないリンクをクリックしない。
• 心当たりのない添付ファイルをダウンロードしない。
• 個人情報を共有しない。
• HTTPSで始まらないURLにはアクセスしない。
• Eメールやテキストメッセージのリンクからアカウントにログインしない。

スプーフィングのEメールを受信した疑いがある場合は、別の通信モードを使用して送信者に連絡し、メッセージの有効性を確認します。不審なEメールには返信しないでください。さらなる損害を意識して、個人情報を保護するための措置を講じてください。

フィッシングの防止と対処の方法

フィッシング攻撃のリスクを最小限に抑えることは、組織のサイバーセキュリティ戦略にとって非常に重要です。従業員とセキュリティ意識向上トレーニングを実施して、疑わしいフィッシング攻撃を特定して報告する方法を従業員に確実に理解してもらいます。以下は、さまざまな種類のフィッシングから身を守るのに役立ついくつかの簡単な戦略です。

• ウイルス対策ソフトウェアの使用：マルウェア対策ツールはデバイスをスキャンし、フィッシング詐欺によってシステムに侵入するマルウェアを防止、検知、削除します。
• スパム対策フィルターの使用：スパム対策フィルターは、フィッシングEメールを迷惑メールフォルダーに自動的に移動します。
• ブラウザとソフトウェアの更新：最新バージョンのWebブラウザ、アプリ、またはその他のソフトウェアを実行すると、最新のフィッシング攻撃に対する最善の防御が可能になります。
• 多要素認証（MFA）のアクティブ化：フィッシング攻撃で認証情報が侵害された場合でも、この追加の認証により追加の防御層が提供され、脅威アクターは思うままに個人情報にアクセスできなくなります。
• 開かない、返信しない：スパムEメールは無視してください。開かずに削除します。フィッシングEメールに応答すると、脅威アクターが再度標的にすることを促してしまいます。
• セキュリティ意識向上トレーニング：フィッシング攻撃を認識して報告する従業員のトレーニングを実施します。フィッシングシミュレーションを実施することで、従業員は学んだことを実践することもできます。
• URLとファイルの検証：リンクをクリックしたりファイルをダウンロードしたりする前に、リンクやファイル、送信者の正当性を再確認します。

フィッシング攻撃が発生した場合でも、慌てる必要はありません。フィッシングEメールは、読むだけなら通常は問題になりません。フィッシング攻撃では、被害者が悪意のあるリンクをクリックするか、ファイルをダウンロードして悪意のあるアクティビティをアクティブ化する必要があります。アカウントと個人情報を監視し、警戒を怠らないでください。

フィッシング攻撃を防ぐことは不可能ですが、電子コミュニケーションを行う際に注意を払い、従業員にも同じことをするように促すことができます。フィッシングEメールに気づいた場合は、米国政府（phishing-report@us-cert.gov）に報告することもできます。

フィッシングやスプーフィングに対するプロアクティブな防御

サイバーセキュリティ攻撃から自分自身と組織を保護するためのプロアクティブな保護戦略を実装することは不可欠です。クラウドストライクの専門家チームは、サイバー脅威を見逃さないように、お客様の環境内のアクティビティをプロアクティブにハンティングして調査し、アドバイスします。

最新のデジタルテクノロジーを活用して、オンラインの攻撃者の一歩先を行きます。CrowdStrike Falcon®プラットフォームは、単一の軽量エージェントを介してクラウドネイティブな次世代エンドポイント保護を行い、一連の補完的な予防および検出方法を提供します。詳しくはこちらをご覧ください。