SNSがフィッシングの温床に　2024年に約1億6000件の被害を確認──ゼットスケーラー調査

　Zscaler（以下、ゼットスケーラー）は、「2025年版 Zscaler ThreatLabzフィッシングレポート」を発表。ゼットスケーラーのクラウドセキュリティプラットフォームである「Zero Trust Exchange」で2024年1月から12月にかけてブロックされた20億件超のフィッシングトランザクションの分析結果を明らかにした。

新興市場でフィッシング活動が急増

　メールの送信者認証の導入などを背景に、フィッシングは世界全体で20%、米国で32%近く減少したものの、攻撃者は戦略を転換しブラジル、香港、オランダといった新興市場を標的とした攻撃を拡大しているという。これらの地域では、多くの場合、デジタル化の進展に見合ったセキュリティ投資が行われてないとしている。インド、ドイツ、英国など、以前からの標的国でも、地域特有のパターンや季節的な傾向に合わせた攻撃が続いているとのことだ。

ソーシャルメディアプラットフォームがフィッシングの温床に

　Facebook、Telegram、Steam、Instagramといったソーシャルメディアプラットフォームは、フィッシングキャンペーンにおける模倣対象としてだけでなく、マルウェアの配布、C2通信の秘匿、ターゲットに関する情報の収集、ソーシャルエンジニアリングのツールとしても悪用されているという。また、ITサポート担当者になりすまして緊急性や安全上の懸念を演出するテクニカルサポート詐欺も依然として蔓延しており、2024年には1億5914万8766件が確認されているとのことだ。

脅威アクターによるAIの悪用：Phishing as a Serviceと偽のAIツールサイトが増加

　サイバー犯罪者は、生成AIを使って攻撃の規模を拡大しているほか、偽のWebサイトを生成したり、ソーシャルエンジニアリングに使用するディープフェイクの音声、動画、テキストを生成したりしているという。履歴書生成ツールやデザインプラットフォームなどのAIツールを装って、ユーザーに資格情報や支払い情報を入力させる新たな詐欺も出現しているとのことだ。給与管理、財務、人事などを担う重要部門や経営幹部は、機密性の高いシステムや情報へのアクセスと慎重を要するプロセスの鍵を握り、不正な支払いを比較的簡単に承認できるため、主要な標的となっているという。

　履歴書生成、グラフィックデザイン、ワークフロー自動化といったサービスの提供をうたう「AIアシスタント」や「AIエージェント」の偽サイトも作成されているとのことだ。AIツールが日々の生活にますます浸透する中、攻撃者はその使いやすさや信頼を悪用して、不用心なユーザーを不正なサイトに引き込もうとしている。

調査方法

　Zscaler ThreatLabzでは、2024年1月から12月までにブロックされた20億件のフィッシングトランザクションを分析し、上位のフィッシング攻撃、標的となった国、フィッシングコンテンツがホストされている国、サーバーIPアドレスに基づく企業タイプの分布、フィッシング攻撃と関連のある上位の参照先など、様々な観点から研究を実施。さらに、2024年全体を通じて確認された注目すべきフィッシングの動向と事例を追跡し、詳細に調査したという。

【関連記事】
・Facebookから偽Webサイトに誘導　生成AIサービスを悪用したサイバー犯罪の手口──CPR調査
・ランサムウェア感染後に「システムを完全復旧できなかった」企業が7割を超える──ITR調査
・自動化された認証情報の窃取がサイバー攻撃の連鎖を引き起こす──IBM調査