標的型攻撃とフィッシング詐欺

ソーシャルエンジニアリング は、コンピュータの技術を使わずに、人の 油断 や思い込みにつけ込んでパスワードなどの秘密の情報を手に入れる手口の総称である。

狙われるのはシステムの弱点ではなく人なので、通信の暗号化やウイルス対策ソフトのような技術的な対策だけでは防げない。例えば、背後から画面をのぞき見る ショルダーハック や、ごみとして出された紙や媒体から手掛かりを拾う トラッシング のように、コンピュータを使わない行為も含まれる。そのため、従業員への教育や情報を伝える手順の取り決めのように、人の行動に向けた対策も欠かせない。

たとえ錠前を壊さずに、宅配業者のふりをして住人に自分から玄関を開けさせる空き巣のようなもの。狙っているのは鍵ではなく、住人の思い込みである。

覚え方ソーシャル (人付き合い) を使った「工作」と読むと、仕掛ける相手が機械ではなく人だとわかる。

この用語の過去問 3 題 ソーシャルエンジニアリング →

標的型攻撃 は、特定の組織や個人に狙いを絞り、その相手に合わせて作り込んだメールなどで マルウェア を送り込み、情報を盗み出す攻撃である。

取引先や業務上の連絡を装うなど、受け取った人が疑わずに開く文面にする。開かせた添付ファイルや URL から入り込んだ後は、外部から PC を操る遠隔操作用のプログラム (RAT) などを使って重要な情報を持ち出す。続け方や近づき方の違いによって、APT や水飲み場型攻撃などの型に分かれる。

たとえある会社の部長の名前を調べ上げ、本物そっくりの社内便をその部下あてに届けて開けさせるようなもの。

この用語の過去問 2 題 標的型攻撃 →

APT (Advanced Persistent Threat) は、特定の組織や個人に対し、いくつもの手口を組み合わせながら 長期間 にわたって攻撃を続ける標的型攻撃である。

一度入り込んで終わりにせず、組織の中に潜んだまま操れる範囲を少しずつ広げ、機密情報を何か月も持ち出し続けることがある。目立たないように動くため、侵入を防ぐ対策に加えて、外へ向かう不審な通信を見張る対策も要る。攻撃が偵察から目的の実行まで段階を踏んで進む様子を表したモデルを サイバーキルチェーン という。

たとえ一晩で盗んで逃げる泥棒ではなく、家に住み着いた同居人のふりをして、長い期間をかけて少しずつ貴重品を持ち出すスパイのようなもの。

覚え方3 文字のうち P (Persistent = しつこく続く) が、ほかの標的型攻撃との違いを表している。

この用語の過去問 2 題 APT →

水飲み場型攻撃 は、標的がよく閲覧する Web サイトを前もって 改ざん しておき、そこを訪れた標的の PC をマルウェアに感染させる攻撃である。

攻撃者は、標的のほうからやって来る場所に罠を仕掛けて待つ。改ざんされるのは標的が普段から信用している正規のサイトなので、利用者は警戒しにくい。標的の組織からアクセスしてきたときだけ感染させるようにして、ほかの訪問者に気付かれにくくする場合もある。

たとえ常連客ばかりが通う店の入口に、こっそり細工をしておくようなもの。客はいつもの店だと思って、安心して入ってしまう。

覚え方肉食動物が、獲物の集まる水場 (watering hole) で待ち伏せする姿から付いた名前である。

やり取り型攻撃 は、はじめは害のない問い合わせなどを装って何度かメールを交わし、相手が 信用 したところでウイルス付きのファイルなどを送る標的型攻撃である。

最初のメールには不正なものが入っていないので、受け取った担当者は警戒しない。何度か返事をするうちに相手を普通の問い合わせ相手だと思い込み、後から届く添付ファイルも疑わずに開いてしまう。外部からの問い合わせに応じるのが仕事である窓口の担当者が狙われやすい。

たとえいきなり契約を迫らず、世間話を何度か重ねて「感じのいい人だ」と思わせてから、本題の悪い話を持ちかける詐欺師のようなもの。

この用語の過去問 1 題 やり取り型攻撃 →

フィッシング は、金融機関などの実在の組織を装ってメールなどで本物そっくりの 偽サイト へ誘い、ID・パスワードやカード番号などの情報をだまし取る詐欺である。

急がないと困るような文面で利用者をあわてさせ、リンクから偽サイトを開かせるのが典型的な流れである。情報を打ち込むのは利用者自身なので、届いたリンクを使わず、登録しておいた公式サイトから開くことが備えになる。

たとえ本物そっくりの銀行の封筒で「確認のため暗証番号を書いて返送してください」という偽の用紙を送り、書き込ませて盗む手紙の詐欺のようなもの。

覚え方綴りは phishing だが読みは釣り (fishing) と同じで、えさで情報を釣り上げる姿に重なる。

この用語の過去問 3 題 フィッシング →

スミッシング は、フィッシング のうち、携帯電話の番号あてに届く短いメッセージ (SMS) を入口にして偽サイトへ誘い込むものである。

例えば宅配便の不在連絡や料金の未払いを装った SMS を送り、本文のリンクから偽サイトを開かせて ID などを入力させる。偽サイトから不正なアプリを入れさせ、そのアプリで情報を盗む形もある。スマートフォンの短い通知は送り主を見分けにくく、本物だと思って開きやすい。

たとえ宅配業者の不在票そっくりの紙を郵便受けに入れておき、書かれた偽の窓口へ連絡させて情報を聞き出すようなもの。

覚え方SMS と phishing を組み合わせて作られた言葉である。

ワンクリック詐欺 は、Web ページやメールのリンクを 1 回クリックしただけで「登録が完了しました」などと表示し、料金 を払うよう一方的に迫る詐欺である。

利用者は申し込みの内容も金額も確かめていないので、クリックしただけで契約が成り立ったことにはならず、支払う必要はない。画面に IP アドレスや端末の情報を表示して「あなたを特定した」とおどすことがあるが、それだけで氏名や住所がわかるわけではない。あわてて連絡すると、かえって自分の電話番号やメールアドレスを相手に知らせることになる。

たとえ店先の看板に触れただけで、店員に「契約成立です、代金を払ってください」と詰め寄られるようなもの。触れただけでは何も買っていない。