0
いいね!でマイページに保存して見返すことができます。
情報セキュリティに関するインシデント動向のひとつとして、不特定多数を対象とする攻撃から、特定組織、グループ、コミュニティを狙った攻撃、いわゆる標的型攻撃へのシフトが挙げられる。これは、攻撃者側が、より洗練され組織化され、ビジネスライクになってきたことが背景として考えられる。その標的型攻撃の1つとしてフィッシング詐欺は常套手段だが、そのフィッシングの手法も多様化してきており、分類や統計が難しくなっている。
フィッシングは組織犯罪のひとつ
典型的なフィッシングの形態として、特定サービスの会員やユーザーに向けて「システム変更を行います。以下のURLでパスワードの再設定を行ってください。」といった文面のメールを受け取った方も少なくないだろう。指定されたURLは精巧に作られた偽造サイトで、ID、パスワード情報を窃取する。場合によってはURLにも当該企業名を含めたり、1文字違いのドメイン名を使っていたりもする。
金融機関のフィッシングサイトであれば、顧客の口座番号、暗証番号、クレジットカード番号などを入手できるので、攻撃者は、スパムのようにメールやウイルスをばらまいて情報を窃取するより効率よく金銭が得られる。そのため、フィッシング詐欺はいわゆるハッカーと呼ばれるような専門知識を持つ人間ではなく、もともと詐欺などの犯罪行為をビジネスとしている連中が手掛けていることが多い。
フィッシング詐欺の特徴は、次のように整理できるだろう。政府機関や大企業を名乗り、正規のメールを思わせるフォーマットやシグネチャで、正規のユーザーに誘導メールを送る。誘導先は画面デザインやロゴ、URLも含めて精巧に模倣された偽造サイトで、被害者の個人情報の窃取が目的とされる。正規サイトの改ざんではないので、自社サイトの防衛をいくら強化しても模倣サイトの立ち上げは防止できない。
また、被害が拡大すると、偽造が周知されるので模倣サイトの効果が薄れる。そのため「ヒットアンドアウェー」で当局や関係機関がサイトを閉鎖する前に消滅していることも多い。最近では、パブリッククラウドを利用して足取りを残さないというパターンも存在する。
まとめると、1)標的型の誘導メールで大手企業などの偽造サイトに接続させる、2)接続先は精巧に作られた偽造サイトであり、正規サイトの改ざんなどではない、3)目的はID、パスワード、口座番号、暗証番号などの窃取にある、という3点に集約される。
ここから先は「ビジネス+IT」会員に登録された方のみ、ご覧いただけます。
今すぐビジネス+IT会員にご登録ください。
すべて無料!今日から使える、仕事に役立つ情報満載!
-
ここでしか見られない
2万本超のオリジナル記事・動画・資料が見放題!
-
完全無料
登録料・月額料なし、完全無料で使い放題!
-
トレンドを聞いて学ぶ
年間1000本超の厳選セミナーに参加し放題!
-
興味関心のみ厳選
トピック(タグ)をフォローして自動収集!
評価する
いいね!でぜひ著者を応援してください
いいね!でマイページに保存して見返すことができます。
関連タグ