フィッシング被害にあわないためには、“意識の変革”が必要に

フィッシングがさまざまなサイバー攻撃のきっかけに使用される

　フィッシング攻撃は増加の一途をたどっており、様々なサービスや興味を持たれるニュースを悪用するほか、不在配達や購入確認といった「早急に対応しないといけない」と思わせて判断力を鈍らせるなど、巧妙化も進んでいる。その本質は文章で人を騙すことであり、サイバー犯罪者にとっては投資対効果の高いサイバー攻撃といえる。

　サイバー犯罪者にとってフィッシングは手軽である。たとえば脆弱性情報を常にチェックして、新たに公表された脆弱性情報を元に攻撃コードを生み出したり、企業システムの穴を探して攻撃手法を練ったりする必要がない上に、アンダーグラウンドにはフィッシング用のツールやサービスもたくさんある。

　また最近では、複数の手法を組み合わせたサイバー攻撃が一般的になっており、その初期段階にフィッシングを使用するケースが非常に増えている。具体的には、フィッシングの手法で企業のアカウントにログインする情報を盗み出したり、マルウェアに感染させようとしたりする。

　サイバー犯罪者はフィッシングの手法によって企業内に侵入し、必要なマルウェアやツールを送り込みながら横移動を行い、ドメインコントローラー（DC）やActive Directoryサーバー（AD）を不正操作して重要なデータにアクセスできる権限に昇格させ、データを盗み出す。数年前の標的型攻撃の手法が一般化していることからも、サイバー犯罪の進化がわかる。