フィッシング
フィッシングとは
「フィッシング（phishing）」とは、利用者を騙して様々な情報を詐取するネット詐欺の手口です。多くの場合、実在の組織を偽装したメールやメッセージを、不特定多数の利用者にばらまきます。そして、偽のWebサイトへ誘導し、利用者を騙し自ら情報を入力するように仕向け詐取します。このような手口を日本では「フィッシング詐欺」とも呼び、ネット詐欺の中でも代表的な存在となっています。
「フィッシング」の概要
フィッシングは、利用者を騙して様々な情報を詐取するネット詐欺の手口です。
個人利用者を攻撃対象にしたフィッシングでは、Web上で提供されるサービスのアカウント名とパスワードなどの認証情報に加え、銀行口座情報、クレジットカード情報のように、直接金銭と関連する情報や、住所や誕生日のような個人情報が狙われます。パスポートや運転免許証の写しまで要求してくる場合もあります。
多くの場合、フィッシングを行うサイバー犯罪者の目的は詐取した情報そのものではなく、そこから生まれる金銭利益です。詐取した情報を悪用して、ネットバンキングからの不正送金、クレジットカードの不正使用、Webサービスの不正利用などを行います。また、詐取した情報をまとめ、他のサイバー犯罪者に販売することで金銭利益を得る場合もあります。
一般的なフィッシングの手法
最も一般的なフィッシングは、金銭利益に繋がる情報の詐取を目的に、不特定多数の個人利用者を攻撃対象とするものです。サイバー犯罪者は、実在の組織を偽装した誘導メール（フィッシングメール）をばらまきます。偽装される実在組織としては、銀行、クレジットカードを発行する信販会社、携帯キャリア、宅配業者が代表的ですが、様々な企業を騙る事例があるため、法人組織としてはどのような業種であれ自社が偽装されていないかを注意する必要があります。自社が騙られた場合はWebページなどで注意喚起を行うことが重要です（詳細は対策パートをご覧ください）。
フィッシングメールの目的は、利用者を騙して本文中のURLリンクにアクセスさせることです。フィッシングメール内のURLリンクをクリックした利用者は、偽サイト（フィッシングサイト）へ誘導されます。多くのフィッシングメールは、取引や請求書、荷物の送付、セキュリティ上の不安などの名目で利用者に何らかの手続きが必要であると信じ込ませる内容になっています。
また、フィッシングサイトには、偽のログイン画面や情報の入力フォームが用意してあります。フィッシングメールの内容に騙されている利用者は、情報を自ら入力してしまうことで、詐取されます。
リアルタイムフィッシング
警察庁の発表では、2023年には過去最大規模の不正送金被害が発生しています。その背景と考えられる最も巧妙なフィッシングが「リアルタイムフィッシング」と呼ばれる手法です。
リアルタイムフィッシングでは、詐取した情報をその場で使用することで最終的にネットバンキングの不正送金やWebサービスの不正利用までが行われてしまいます。
リアルタイムフィッシングでは被害者から詐取した情報をすぐに本物サイトへ入力し、サービスへのワンタイムパスワードなどの追加の認証までを突破します。
図：「リアルタイムフィッシング」の概念図
スマートフォン利用者を狙うフィッシング：スミッシングと不正アプリ
今や、利用者の多くがPCだけではなく、スマートフォンを利用してインターネットへアクセスしています。サイバー犯罪者はこの状況を把握しており、スマートフォン利用者を狙うフィッシングが主流になりつつあります。
直接スマートフォンを狙うフィッシングの誘導手法として、「スミッシング（Smishing）」があります。スミッシングは携帯のテキストメッセージ機能であるSMSとPhishingを合わせた造語であり、電子メールの代わりにSMSを誘導経路として使用する手口です。日本では2015年頃から日本語のスミッシングが確認されていました。ただし、日本を狙うスミッシングが本格化したのは、2017年末に登場し現在まで続いている宅配便不在通知の偽SMS以降と言えます。
図：宅配便不在通知を偽装するスミッシングメッセージの例（2018年7月確認）
SMSは携帯電話の機能であるため、スミッシングの攻撃対象は明確にスマートフォン利用者となります。現在、日本で確認されているスミッシングの誘導先フィッシングサイトでは、（アクセス元がAndroid端末だった場合）不正アプリをインストールさせる事例が多く見られています。また、端末がiPhoneの場合には、主にApple社を偽装するフィッシングサイトへ誘導します。ただし2021年にはiPhoneであっても不正アプリのインストールを狙う事例を確認しており、iPhoneに不正アプリの危険が全くないわけではないことに注意してください。
図：Android端末に不正アプリをインストールさせるメッセージの例（2023年6月確認）
法人組織を狙うフィッシング
フィッシングは「個人利用者を狙うサイバー犯罪」というイメージがありますが、法人利用者を狙う攻撃も発生しています。法人利用者を攻撃対象とするフィッシングでは、主に社内ネットワークやクラウドサービスで使用するアカウントと認証情報が狙われます。
最近では特に、導入が多くなっているクラウドメールの認証が主な標的となります。このような法人を狙うフィッシングは、後の攻撃の準備段階であることが多く、詐取した認証情報がネットワーク侵入などの不正アクセスの際に悪用されます。
図：法人利用者を狙うフィッシングメールの例（2022年7月確認）
図：マイクロソフトアカウントを狙うフィッシング画面の例（2022年7月確認）
用語としての「フィッシング」
「フィッシング」は、海外ではより広い意味を持つ用語として使われることがあります。例えば、「フィッシングメール」と言った場合、日本では情報を詐取するための偽サイトへ誘導する目的を意味します。しかし、海外では「人を騙して何かに誘導する手口全般」を指し、マルウェア感染など、他の目的の不正メールも「フィッシングメール」と呼ばれます。不特定多数へのばらまき型のメール攻撃（英：Mass-Mailing）に対し、標的を絞ったメール攻撃を「スピアフィッシング（Spear Phishing）」と呼びますが、これも同様です。また、電話など音声で被害者を騙す手口は「ヴィッシング（英：Vishing=Voice Phishing）」と呼ばれます。
フィッシングへの対策
フィッシングから自身を守るため、個人と組織で可能な対策を紹介します。
個人利用者が考えるべき対策
「フィッシング」は、人を騙す攻撃手法であるため、基本的には実社会における詐欺対策と同様です。「手口を知り、騙されないようにする」考えが必要です。フィッシングに対する個人の心がけとして、以下の点に注意してください。
- フィッシング詐欺の最新手口を知り、騙されないようにするため、様々な組織が発信している注意喚起情報を参考にしてください。例えば、自身が使用している銀行、信販会社、携帯キャリア、インターネットプロバイダ、セキュリティベンダーからの情報に注意してください。
- サイバー空間で個人情報や決済情報、ネットバンキングの認証情報などの大切な情報を入力するときには、一度立ち止まり、適正なトランザクションかどうか振り返る習慣を身につけてください。トレンドマイクロを含め、フィッシング対策協議会を中心としたメンバーが推進する世界的なフィッシング対策の普及活動として「STOP. THINK. CONNECT.™」がありますので、ご参照ください。
- 心がけだけでは見抜けない巧妙な手口が増えているため、セキュリティ対策製品を導入することも必要です。例として、トレンドマイクロ製品ではフィッシングメールを「Eメールレピュテーション（ERS）」技術で、フィッシングサイトを「Webレピュテーション（WRS）」技術により、ブロックします。このような対策技術を実装した個人利用者向け製品としては、PC向け対策製品「ウイルスバスタークラウド」やスマートフォン向け対策製品「ウイルスバスターモバイル」があります。
また、利用するWebサイトなどの認証情報を詐取されてしまったとしても直ちに不正ログインされないように、「ワンタイムパスワード」のような追加のセキュリティ機能を利用しましょう。
組織が考えるべき対策
法人組織においては、従業員が被害に遭わないようにフィッシング情報の周知やセキュリティリテラシー教育を行うことが必要です。具体的なトレーニングとして、メール攻撃に対する訓練サービスなどもあります。
また、ゲートウェイにおけるメール対策やWeb対策を導入し、従業員にフィッシングメールが届いたり、フィッシングサイトにアクセスしてしまう機会を減らしましょう。送信元を偽装するなりすましメール対策としては、SPF/DKIM/DMARCのような送信ドメイン認証を導入することも有効です。
フィッシング被害に遭ってしまった場合
フィッシングサイトに情報を入力してしまった可能性がある場合、被害を最小限に抑えるためにも、速やかに関係機関への報告と相談を行ってください。
【とるべき手順】
- まず、情報を詐取された可能性があるサービスの提供事業者に連絡してください。
- 次に、詐取された情報を悪用した不正送金や不正ログインなど実質的な被害が確認できた場合には、居住する地区の都道府県警察のフィッシング報告専用窓口に連絡してください。
- 国民生活センターまたは各地の消費生活センターでも相談の受け付けと対応を行っていますので、併せてご確認ください。
- 具体的なフィッシングメールやフィッシングサイトについては、被害の拡大を防ぐためにも、フィッシング対策協議会、もしくはご利用のセキュリティ製品のセキュリティベンダーに報告してください。
まとめ
フィッシングは人を騙す古典的なネット詐欺の一種であり、個人利用者にとっても、法人組織にとっても大きな脅威となっています。特に、個人利用者にとってはリアルタイムフィッシングのような巧妙な手口により、ネットバンキングの不正送金やクレジットカードの不正利用のような直接的な金銭被害を受ける危険性が高くなっています。
また、スマートフォンに不正アプリをインストールする手口により、自身がスミッシングの送信元となり被害拡大に加担してしまう可能性もあります。フィッシングのような人を騙す詐欺手口に対しては、手口を知り、騙されないように注意すると共に、対策製品の導入によるフィルタリングの2つを併せて考える必要があります。
ウェビナーによる解説
フィッシングについての関連情報
未だ無視できない法人を狙う「フィッシング」を効果的に防ぐには？
2,131万－。これは2023年上半期に国内から詐欺サイトに誘導された端末台数です。コロナ禍に入って未だ大きい詐欺サイトの影響。もちろん個人利用者だけでなく、法人組織も他人事ではありません。法人へのフィッシングの影響と効果的な対策について解説します。