フィッシングシーズン到来
暖かい季節が終わり、ホリデー気分が盛り上がってくると、抜け目のない犯罪者もホリデー気分を味わいたいと思っていることを忘れないでください。
フィッシングや詐欺などのオンライン詐欺が最も活発になる時期はいつですか? 基本的には、今からホリデー ショッピング シーズンまでです。 （開会のベルが鳴る頃に皆さんの注意を引くのが最善だと思いました。）
フィッシングが最大の攻撃経路となったのには、十分な理由があります。 少ない労力で高い報酬が得られます。 F5 Labs はフィッシングを次のように定義しています。
被害者が信頼する当事者または団体になりすました人物から、電子メール、ソーシャル メディア、またはテキスト メッセージを介して一度に複数の受信者に送信される、あらゆる種類の不正な通信。 目的は、通常はリンクをクリックしたり添付ファイルを開いたりして、ユーザーを騙して個人情報（銀行口座番号、社会保障番号、クレジットカード番号など）を提供させることです。 フィッシングには、組織内の特定の、多くの場合は高位の個人をターゲットとするスピアフィッシングや、詐欺的な音声メッセージを伴うヴィッシングなど、いくつかのバリエーションがあります。
基本的に、あなたが知っているかもしれない名前からメールが届きます。 友人、家族、同僚、会社、または仲間があなたに何かを依頼したり、何らかのイベントに招待したりします。 重要な情報を取得するには、リンクをクリックするか添付ファイルを開く必要があります。 そして、一度そうすると、いわゆる「ハマる」のです。
フィッシング対策ワーキンググループは、 2019年第1四半期には、SaaS（Software-as-a-Service）およびウェブメール サービスを狙うフィッシングがフィッシング攻撃全体の36%を占め、フィッシングの最大のカテゴリになったと指摘しています。 初めて「決済サービスに対するフィッシング」のカテゴリーを通過しました。 また、昨年の第3四半期および第4四半期と比較して、2019年第1四半期にはフィッシングサイトが著しく増加しました。 APWG と F5 Labs の両社は、SSL 証明書を使用してブラウザに HTTPS ロックを表示するフィッシング サイトの増加も確認しています。 安全であれば合法であるはずですよね?
BleepingComputer は最近、侵害された SharePoint サイトと OneNote ドキュメントを使用して潜在的な被害者をフィッシング サイトにリダイレクトする、銀行員をターゲットにした新しいキャンペーンについて報告しました。 SharePoint で使用されるドメインは、ほとんどの場合、電子メール ゲートウェイ経由で許可されるため、攻撃者はこのトリックを使用して検出を回避し、メッセージを制限なく受信します。 侵入された他のアカウントから送信された電子メールには、受信者に機密文書を確認するよう指示する内容が書かれています。 埋め込まれたリンクにより、被害者は、部分的にしか読めない OneNote ドキュメントを含む悪意のある SharePoint サイトに移動します。 次に、文書全体を閲覧するには資格情報を入力するように指示します。 ユーザーは、Office365 の資格情報またはその他の電子メール アカウントを入力してログインできます。 そしてその時点で、資格情報が抽出され、収集されます。
犯罪者は企業の電子メール アカウントを侵害した後、ラテラル フィッシングと呼ばれる攻撃を実行できるようになります。 今回は、電子メールは外部ドメインではなく組織内部から届いたようです。 相手が仕事仲間や普段毎日メールを送っている人である場合、リンクをクリックしたり、何らかのアクションを実行したりする可能性が高くなります。 カリフォルニア大学バークレー校、カリフォルニア大学サンディエゴ校、バラクーダは、横方向の攻撃を調査し、攻撃者が同じ組織内の他の人物を侵害することに成功している確率は 11% であることを発見しました。 恐ろしいのは、攻撃の 42% が IT 部門やセキュリティ部門に報告されていないことです。 したがって、これらの侵害されたアカウントは複数の攻撃に使用された可能性があります。
詐欺師はそれをどのように使用するか決めることができます。 個人、組織全体、さらにはパートナーをターゲットにすることもできます。 ほとんどの場合、詐欺は電子メール アカウントに問題があるか、共有ドキュメントへのリンクがあるかのように装います。 そして、おそらくあなたは、このリンクが偽のログイン ページに移動し、さらに多くの資格情報を取得するものであることに気付いたでしょう。 攻撃者は検出を避けるために、送受信したメッセージを削除することさえしました。
これらのアカウントは、家族や友人に「困っているのでお金を送ってください！」という、多くの人が騙されてしまうような恐ろしい要請を送るのにも使用できます。
2 要素認証などの対策とセキュリティ意識向上トレーニングを組み合わせると、多くの場合役立ちます。 F5 Labs は、意識向上トレーニングを増やすことでリスクが必ず軽減されると指摘しています。 そして、もし愛する人から「助けが必要」というメモを受け取ったとしても、すぐに通信社に頼ってはいけません。 本当に困っているかどうかを確認するために、他の方法でその人と連絡を取ってみてください。
最後に、現実世界にいる間は、ガソリンスタンドのクレジットカード挿入口を必ず確認してください。ATM やカードが挿入されるその他のデバイスも同様です。 窃盗犯は、実際のリーダーの上に悪意のあるキャプチャ デバイスを追加するのが好きです。 適切なデータ保護対策を実施し、安全でないと思われる場合や改ざんされている場合は、次のマシンに進みます。
楽しんで、気をつけてください。 そうすればよかったと思うでしょう。