フィッシング

フィッシングは、利用者を騙して様々な情報を詐取するネット詐欺の手口です。
個人利用者を攻撃対象にしたフィッシングでは、Web上で提供されるサービスのアカウント名とパスワードなどの認証情報に加え、銀行口座情報、クレジットカード情報のように、直接金銭と関連する情報や、住所や誕生日のような個人情報が狙われます。パスポートや運転免許証の写しまで要求してくる場合もあります。

多くの場合、フィッシングを行うサイバー犯罪者の目的は詐取した情報そのものではなく、そこから生まれる金銭利益です。詐取した情報を悪用して、ネットバンキングからの不正送金、クレジットカードの不正使用、Webサービスの不正利用などを行います。また、詐取した情報をまとめ、他のサイバー犯罪者に販売することで金銭利益を得る場合もあります。

一般的なフィッシングの手法

最も一般的なフィッシングは、金銭利益に繋がる情報の詐取を目的に、不特定多数の個人利用者を攻撃対象とするものです。サイバー犯罪者は、実在の組織を偽装した誘導メール（フィッシングメール）をばらまきます。偽装される実在組織としては、銀行、クレジットカードを発行する信販会社、携帯キャリア、宅配業者が代表的ですが、様々な企業を騙る事例があるため、法人組織としてはどのような業種であれ自社が偽装されていないかを注意する必要があります。自社が騙られた場合はWebページなどで注意喚起を行うことが重要です（詳細は対策パートをご覧ください）。

フィッシングメールの目的は、利用者を騙して本文中のURLリンクにアクセスさせることです。フィッシングメール内のURLリンクをクリックした利用者は、偽サイト（フィッシングサイト）へ誘導されます。多くのフィッシングメールは、取引や請求書、荷物の送付、セキュリティ上の不安などの名目で利用者に何らかの手続きが必要であると信じ込ませる内容になっています。

また、フィッシングサイトには、偽のログイン画面や情報の入力フォームが用意してあります。フィッシングメールの内容に騙されている利用者は、情報を自ら入力してしまうことで、詐取されます。

リアルタイムフィッシング

警察庁の発表では、2023年には過去最大規模の不正送金被害が発生しています。その背景と考えられる最も巧妙なフィッシングが「リアルタイムフィッシング」と呼ばれる手法です。

リアルタイムフィッシングでは、詐取した情報をその場で使用することで最終的にネットバンキングの不正送金やWebサービスの不正利用までが行われてしまいます。

リアルタイムフィッシングでは被害者から詐取した情報をすぐに本物サイトへ入力し、サービスへのワンタイムパスワードなどの追加の認証までを突破します。

図：「リアルタイムフィッシング」の概念図

スマートフォン利用者を狙うフィッシング：スミッシングと不正アプリ

今や、利用者の多くがPCだけではなく、スマートフォンを利用してインターネットへアクセスしています。サイバー犯罪者はこの状況を把握しており、スマートフォン利用者を狙うフィッシングが主流になりつつあります。

直接スマートフォンを狙うフィッシングの誘導手法として、「スミッシング（Smishing）」があります。スミッシングは携帯のテキストメッセージ機能であるSMSとPhishingを合わせた造語であり、電子メールの代わりにSMSを誘導経路として使用する手口です。日本では2015年頃から日本語のスミッシングが確認されていました。ただし、日本を狙うスミッシングが本格化したのは、2017年末に登場し現在まで続いている宅配便不在通知の偽SMS以降と言えます。

図：宅配便不在通知を偽装するスミッシングメッセージの例（2018年7月確認）

SMSは携帯電話の機能であるため、スミッシングの攻撃対象は明確にスマートフォン利用者となります。現在、日本で確認されているスミッシングの誘導先フィッシングサイトでは、（アクセス元がAndroid端末だった場合）不正アプリをインストールさせる事例が多く見られています。また、端末がiPhoneの場合には、主にApple社を偽装するフィッシングサイトへ誘導します。ただし2021年にはiPhoneであっても不正アプリのインストールを狙う事例を確認しており、iPhoneに不正アプリの危険が全くないわけではないことに注意してください。

図：Android端末に不正アプリをインストールさせるメッセージの例（2023年6月確認）

このようなSMS経由でスマートフォンに感染させられる不正アプリについては「XLOADER（別名：Moqhao）」と「KeepSpy」の二種がほとんどです。これらの不正アプリは、感染したスマートフォン内の住所録やSMS情報を窃取したり、偽SMSを送信したりするなど、新たなスミッシングの踏み台となり被害を拡大させています。

法人組織を狙うフィッシング

フィッシングは「個人利用者を狙うサイバー犯罪」というイメージがありますが、法人利用者を狙う攻撃も発生しています。法人利用者を攻撃対象とするフィッシングでは、主に社内ネットワークやクラウドサービスで使用するアカウントと認証情報が狙われます。

最近では特に、導入が多くなっているクラウドメールの認証が主な標的となります。このような法人を狙うフィッシングは、後の攻撃の準備段階であることが多く、詐取した認証情報がネットワーク侵入などの不正アクセスの際に悪用されます。

図：法人利用者を狙うフィッシングメールの例（2022年7月確認）

図：マイクロソフトアカウントを狙うフィッシング画面の例（2022年7月確認）

用語としての「フィッシング」

「フィッシング」は、海外ではより広い意味を持つ用語として使われることがあります。例えば、「フィッシングメール」と言った場合、日本では情報を詐取するための偽サイトへ誘導する目的を意味します。しかし、海外では「人を騙して何かに誘導する手口全般」を指し、マルウェア感染など、他の目的の不正メールも「フィッシングメール」と呼ばれます。不特定多数へのばらまき型のメール攻撃（英：Mass-Mailing）に対し、標的を絞ったメール攻撃を「スピアフィッシング（Spear Phishing）」と呼びますが、これも同様です。また、電話など音声で被害者を騙す手口は「ヴィッシング（英：Vishing=Voice Phishing）」と呼ばれます。