最近、ロシアとシリアでGPSスプーフィングの事例が増加しています。ご存知ない方もいらっしゃるかもしれませんが、最近の事件では攻撃者が携帯電話通信ネットワークを利用し、高度な軍事施設、現代経済、そして一般消費者すべてに甚大な損害を与えています。10月に発生したボルチモア郡スプーフィング詐欺は悪名高く、警察官を装って住民から個人情報や金融情報を搾取しました。
医療分野におけるフィッシング攻撃は45%も急増！AI強化型フィッシングキャンペーンが組織を標的とし、成功確率を高めている。技術進歩により、技術力の低い攻撃者でもこれらの攻撃を実行可能に。脅威の様相は進化し、極めて懸念すべき状況となっている。
本ガイドでは、スプーフィングとフィッシングの違い、両者のリスクについて解説する。また、それらを防止する方法と、保護を維持するためにできることも学びます。
スプーフィングとは？
スプーフィング攻撃者が社内の権限を持つ組織を装い、あなたを騙そうとする行為です。巧妙なスプーフィングは感情に訴えかけ、心理的に操作します。特定の行動を促されているとは気づかないでしょう。スプーフィングには二つの要素があります：偽装そのもの（偽のウェブサイト、投稿、メール）とソーシャルエンジニアリング攻撃（攻撃者が最終的に偽装サイトへ誘導する手法）です。スプーフィングは、未知の送信元からの通信を偽装できます。また、ユーザーが知っている信頼できるウェブサイトを模倣し、機密情報の開示を促すことも可能です。
フィッシングとは？
フィッシングは、組織・機関・企業に対して大量のメールを送信する手法です。個人ではなく集団を標的とします。フィッシングの目的は、被害者に即座の行動を促すことです。メールの見出しは共感、怒り、欲、緊急性を喚起する可能性があります。「良すぎて真実とは思えない」ようなオファーや宝くじ詐欺もフィッシングに分類されます。フィッシングメールには悪意のあるウェブサイトへのリンクが含まれており、ウイルス感染した添付ファイルが添付されている場合もあります。ユーザーがこれらの要素を操作すると、機密情報を漏洩させたり、システムを凍結させられたりする危険性があります。
スプーフィングとフィッシングの危険性とリスク
FBIによると、サイバー犯罪者はスプーフィングを本物だと信じ込ませようとします。脅威が迫っているとあなたが思ったとき、攻撃者は細部を歪め、より説得力を持たせるために情報を追加します。スプーフィングとフィッシングは、あらゆる主要なビジネスメール詐欺（BEC）において極めて重要な役割を果たしています。時には、犯罪者は信頼を得るために金銭を送金し、詐欺を本物のように見せかける詳細情報を漏らすことさえあります。
スプーフィングとフィッシングのリスクは以下の通りです：
- 偽装メールは、大規模なデータ侵害を引き起こす可能性があります。なりすましメールに含まれるマルウェアは、機密情報の窃取、システム障害の発生、ネットワーク活動の記録を引き起こす可能性があります。フィッシングメールは金融詐欺の原因にもなります。
- なりすましとフィッシングは、組織に多大な生産性損失をもたらす可能性があります。企業は業務を回復させるため、ワークフローと納品プロセスをより効率化する必要があります。何が問題だったのかを特定し、根本原因を突き止めるために慌ただしく対応することになります。こうした活動には時間がかかり、本来ならビジネスに注力し、顧客を獲得し、優れたパフォーマンスを発揮できるはずの時間が奪われます。
- サイバー犯罪者があなたの身元情報を盗んだ後、何をするかは予測できません。彼らはあなたになりすまし、顧客を騙して盗み、さらなる評判の毀損を引き起こす可能性があります。その影響は甚大であり、時には回復不可能な場合もあります。金銭的な損失は回復できるかもしれませんが、ビジネスは決して元通りにはなりません。市場におけるあなたの立場は損なわれてしまうのです。
なりすましとフィッシング：例
なりすましやフィッシングは様々な形で発生します。最も典型的なスプーフィングの事例は以下の通りです：
- メールスプーフィング—送信元アドレスを改ざんし、信頼できるドメインからの送信に見せかける手法です。例えば、「Google.com」が「Google.org」や「Googl.com」に改名される可能性があります。彼らは偽のメールIDを使用して連絡を試みます。
- 発信者番号偽装—発信者番号偽装は少し複雑です。信頼できる地域や番号から電話がかかってくる場合です。あなたが未知の番号を自動ブロックしている場合、彼らはあなたが以前にやり取りしたことがある古い再利用番号（例えば、他のユーザーに割り当てられた無効化されたSIMカードなど）を使用する可能性があります。
- ウェブサイト偽装は、誰かが詳細や情報を収集するために偽のウェブサイトを作成するときに発生します。例えば、詐欺師が銀行サイトを偽装（PayPalページの複製を作成）し、本物のように見せかける場合があります。
- GPSスプーフィング– GPSスプーフィングはGPSシステムに誤った信号を送信し、誤った方向へ誘導しようとします。その結果、誤った場所に到着し、トラブルに巻き込まれる可能性があります。
- ARPスプーフィング： ARPスプーフィング はIPシステムを標的とし、偽のメッセージを送信します。ローカルインターネットネットワークは、それがあなた自身であると誤認し、機密データを誤った宛先に送信してしまいます。これは、郵便配達員があなたの荷物を隣人や間違った住所に届けてしまうようなものと考えてください。
フィッシングの一般的な例には以下が含まれます：
スピアフィッシング – スピアフィッシング詐欺は、個人や組織の特定メンバーを標的としたメールに口実を追加します。
ホエールフィッシング – ホエールフィッシングは、高位の従業員、CEO、CTO、および大きな権限を持つ個人を標的とします。攻撃者にとってより高い見返りが期待できるため、これらの個人が標的となります。
ヴィッシング –Vishing は、インスタントメッセージング、電子メール、テキストメッセージではなく、音声を通じて機密データを盗みます。攻撃者は、技術サポートチームのメンバーを装い、ユーザーを騙してシステムにマルウェアをインストールさせるという、よくあるヴィッシング詐欺を行います。
スミッシング—スミッシングは、SMS を使用してフィッシング攻撃を仕掛けるものです。これらの攻撃は、被害者の理解力や読解力の弱さを利用し、SMS のリンクをクリックさせようとします。
スプーフィングとフィッシング：概要
スプーフィングとフィッシングの概要を知りたいですか？以下に両者の類似点と相違点をまとめます。
1. 標的となる対象者
スプーフィングは特定の個人、または組織内でより高い権限を持つ人々を標的とします。目的は彼らの信頼を得て、企業に関する内部情報を入手することです。これは一般に公開されていない情報です。スプーフィングメールは、企業のCEO、上級社員、ベンダー、ビジネスパートナーとのやり取りを試みる場合があります。フィッシングメールの対象は、より広範なグループや組織全体です。フィッシングは確率勝負であり、できるだけ多くの人に届き、そのうちの何人かが攻撃に引っかかることを期待します。餌に引っかかった被害者を捕獲する。
2. 内容と労力
なりすましとフィッシングの決定的な違いは内容にある。スプーフィングの内容は通常、特定の個人や組織を模倣することに重点が置かれ、追加の詳細はほとんど必要とされません。一方、フィッシング攻撃では、サイバー犯罪者が偽のウェブサイト、フォーム、ログインページを作成し、ユーザー名やパスワードなどの機密情報を入手することが頻繁にあります。多くの場合、フィッシング詐欺には「アカウントが侵害されました！修正するにはここをクリック！」といった緊急性を煽る表現が含まれます。—被害者に考えずに行動させるためです。
スプーフィングとフィッシング攻撃の労力レベルは異なります。スプーフィングでは、攻撃者は既知の送信元（取引先やサプライヤーなど）を装った簡単なメールを偽造し、そこから攻撃を開始できます。一方フィッシングでは、ウェブサイトやアプリ、公式通信チャネルの構築に労力と資金を投入する必要があります。ほとんどのサイバー犯罪者は、フィッシングスキームを実行する前に偽のウェブページ、フォーム、ログインインターフェースを作成します。
3. ソーシャルエンジニアリングの手法
ソーシャルエンジニアリングによるフィッシング戦術は、恐怖心や緊急性、時には貪欲さに付け込みます。一方、スプーフィングは親近感の創出に依存することが多いです。上司、取引先、同僚など、既知の連絡先を装うことで、スプーフィング攻撃は送信者が信頼できるという前提を利用します。フィッシングが搾取や操作に依存するのに対し、スプーフィングは信頼と安心感の構築に焦点を当てています。
スプーフィングとフィッシング：主な違い
スプーフィングとフィッシングの重要な相違点は以下の通りです
| 特徴 | スプーフィング | フィッシング |
|---|---|---|
| 目的 | 信頼できる情報源を装い、被害者を騙して会話させること。 | 被害者から機密情報や金銭を盗むこと。 |
| 被害者 | 多くの場合、特定の個人や組織、特に貴重なデータを持つ者。 | 一般の個人。ただし、標的型フィッシング攻撃の対象となる場合もある。 |
| 攻撃手法 | 偽の送信者情報（メールアドレス、電話番号、ウェブサイトなど）を使用します。 | 機密情報を盗むために設計された詐欺メールやウェブサイトを伴う。 |
| 主な手口 | メール偽装、発信者ID偽装、DNS偽装、偽サイト。 | スピアフィッシング、ボイスフィッシング（vishing）、SMSフィッシング（smishing）、偽のフォームやリンク。 |
スプーフィングとフィッシング攻撃の見分け方
スプーフィング攻撃を見分ける方法をいくつかご紹介します。
- 金銭、機密情報、または異常な行動を求めるメッセージは、多くの場合スプーフィングです。信頼できる組織は、通常、メールでこのような要求を行いません。
- 文章に不自然な表現がないか確認してください。文章スタイルの急激な変化、よくある文法上の誤り、不自然な表現があれば、その答えは明らかです。
- 送信者のメールアドレスにわずかな不一致がないか確認してください。スペルミス、余分な文字、その他、偽装アドレスを示唆する可能性のあるわずかな名前の変更がないか探してください。
フィッシング攻撃を見分ける方法をいくつかご紹介します。
- フィッシングメールは、しばしば偽りの緊急性を醸し出しています。アカウントがロックされた、問題回避のため詳細情報の入力が必要などと主張する場合があります。
- メール内のリンクはクリックせずにマウスを乗せてください。表示されるURLが、送信元を主張する企業の公式ウェブサイトとは異なる場合、フィッシングの可能性があります。
- 無料の品物がもらえるというオファーを受け取った場合、それはフィッシングメールの可能性が高いです。短期間で富を得る方法を約束するメッセージを受け取った場合は、注意してください。
脅威インテリジェンスの強化なりすまし攻撃とフィッシング攻撃の防止策
フィッシングやなりすまし攻撃を防ぐには、積極的なセキュリティ対策と警戒心が必要です。スプーフィングとフィッシングの防止策を以下に示します：
- 迷惑メールに含まれるリンクはクリックしないでください。ドメイン認証プロトコル（SPF（送信者ポリシーフレームワーク）、DKIM（ドメインキー認証メール）、DMARC（ドメインベースメッセージ認証・報告・適合性））を設定しましょう。これにより正当なメールが検証され、公式ドメインのなりすましが極めて困難になります。
- セキュリティ自動化ワークフローを監督するセキュリティ担当者を配置してください。高度なセキュリティソリューションでも一定の誤作動は発生します。こうした事例を調査し発見するには人間の洞察力が必要です。
- 従業員に対し、フィッシングやなりすまし対策に関する定期的なサイバーセキュリティ意識向上トレーニングとガイダンスを提供してください。不審な送信元からのリンクをクリックしないよう教育してください。従業員に対し、攻撃者との接触リスク、対応方法、フィッシングやスプーフィングの危険性について指導してください。
- ソフトウェアを最新の状態に保ち、システムを定期的にパッチ適用してください。ユーザー認証には多要素認証（MFA）を使用してください。
- 従業員が匿名でフィードバックや懸念事項を提出できるよう奨励してください。早期発見、予防、脅威の修復に対してインセンティブや報酬を提供してください。これにより、サイバーセキュリティに対する意識の文化が醸成され、スプーフィングやフィッシングの脅威を排除できる可能性が高まります。
結論
スプーフィングとフィッシング攻撃は、サイバー犯罪者が使用する 2 つのユニークな攻撃手法です。その仕組みを理解することは、これらに対抗するために不可欠です。
スプーフィングは信頼できる人物や組織を装う行為であるのに対し、フィッシングはより広範な網を張り、感情的なトリガーを操作することに依存する傾向があります。両者ともソーシャルエンジニアリングの手法に基づいていますが、細部のレベルが異なります。フィッシングでは、攻撃のための環境設定に重点が置かれ、個人的なやり取りはそれほど重視されません。一方、スプーフィングでは、攻撃者は人間同士のやり取りや情報交換に焦点を当てます。フィッシングやスプーフィング攻撃から身を守るには、今すぐSentinelOneの利用を開始してください。
FAQs
SentinelOne製品を使用することで、なりすましやフィッシング攻撃から保護できます。カスタマイズされた推奨事項については、チームにお問い合わせください。
現在では、SMS（スミッシング）やソーシャルメディア上の音声通話（バイッシング）など、メール以外の手段でも発生しています。
直ちにパスワードを変更し、被害を受けた組織または権限を持つ担当者に通知し、アカウントの不正利用がないか監視してください。必要に応じて、当局またはIT部門に報告してください。
メール送信者アドレスのわずかな差異に注意してください。また、機密情報の要求や、送信者らしからぬ不自然な文章表現にも警戒が必要です。