フィッシング攻撃は、電子メールの発明以来、個人や組織にとって窮状となって 最近のところ、これらの攻撃はより洗練され、検出が困難になっています。 フィッシング攻撃は、ハッカーが被害者のアカウントやネットワークに侵入するために使用する最も一般的な方法の一つです。 シマンテックによると、2,000の電子メールの一つはフィッシング攻撃であり、これは毎日135万の攻撃があることを意味します。

フィッシング攻撃はすでに頻繁に発生していますが、危機の時には大幅に増加する傾向があります。 詐欺師は、これらの重大な出来事によって引き起こされる混乱と混乱を利用します。 多くの人々は、専門家組織、保険会社、政府機関などの公式の情報源からの電子メールを受信することを期待しています。、争いに彼らの”実質の十分な”電子メールをこっそりする詐欺師のための十分な機会を残す。 これらの一見無害な電子メールは、ユーザーを詐欺的なサイトに再ルーティングし、ユーザーをだまして機密情報を入力しようとします。

フィッシングとは？

簡単に言えば、フィッシングは、詐欺師が詐欺的な電子メールを送信し、悪意のあるリンクをクリックするか、感染した添付ファイルをダウンロードして個人情報を盗むために受信者をだまそうとする戦術です。 これらの電子メールは、小売業者や銀行などの組織から、またはH.R.、あなたの上司、あるいはCEOなどの組織内の個人やチームから来ているように見えるこ

従業員がフィッシング詐欺の兆候を知らない場合、組織全体が危険にさらされています。 Verizonによると、大規模なフィッシングキャンペーンの最初の犠牲者が悪意のある電子メールをクリックするのにかかった平均時間は16分でした。 ユーザーがフィッシングキャンペーンを報告するのに2倍の時間（33分）がかかりました。

サイバー犯罪の91%が成功したフィッシングメールキャンペーンを介して開始されていることを考えると、この17分はあなたの会社にとって災害を綴る可能性があります。

一般的なフィッシング攻撃方法

上記のように、ほとんどの（すべてではないにしても）フィッシング詐欺は、正当なソースから送信されたように見えるように作られた電子メールで始まりますが、攻撃と侵入の方法はそことは異なる場合があります。 これらのフィッシング手法の中には、機密情報を入力するためのリンクをクリックするように誰かをだましたり、密かにバックグラウンドで悪意のあるソフトウェアを実行するために、コンピュータやネットワークへのアクセスを得る正当なプロセスをなりすます実行可能ファイルを実行するのと同じくらい複雑にすることができます。

フィッシング詐欺は、一般的に単一の攻撃の中で複数の欺瞞方法を利用します。 通常、これらの詐欺は、リンクの操作とウェブサイトの偽造を組み合わせて使用して、詐欺を可能な限り説得力のあるものにします。 フィッシングメールを受信すると、最初に表示されるのは、Facebook、Amazon、YouTubeなどの既知で信頼できるウェブサイトへの一見正当なURLです。 リンクをクリックするようにあなたを悩ますメッセージで。 これらのメッセージは、解決する必要があるアカウントまたは注文に問題があると主張することによって、ユーザーに機密情報を入力するよう促します。

リンクは本物のように見えるかもしれませんが、”amazon.com”リンク、小さなタイプミスやドメインとの矛盾は、多くの場合、その本質を明らかにします。 これらの不正なドメインは、多くの場合、typosquatドメインと呼ばれています。 これらの悪意のあるサイトは、実際のwebページにできるだけ似て見えるように設計されており、ハッカーが実際のサイトで盗んで使用するための資格情報を入力するように控えめな犠牲者をだましています。

ハッカーは、正当な見た目のファイルを添付するか、クリックすると悪意のあるソフトウェアを密かにダウンロードして被害者のシステムに埋め込む これらの攻撃は、多くの場合、銀行口座、社会保障番号、ユーザーの資格情報、および多くのような機密情報を盗むために、ユーザーネットワークを介して横方向に移動し、バックグランドで実行されます正当な実行可能ファイルとして自分自身を偽装するマルウェアを注入します。 時には、マルウェアは、被害者のネットワークを介してその方法をワーム、暗号化し、身代金のために保持するために機密データをexfiltratingランサムウェアが含まれて

フィッシング攻撃の種類

フィッシング詐欺師が使用する最も一般的な攻撃方法は、広いネットをキャストすることです。 彼らは彼らのトリックのために落下にいくつかをだますことを期待して、できるだけ多くの人々に一般的に使用されるサイトから一般的な電子メー この方法は効果的ですが、フィッシング詐欺師がキャッチを暗礁にする唯一の方法ではありません。 いくつかの詐欺師は、槍フィッシング、クローンフィッシング、捕鯨のようなより正確な方法を使用して仕事を成し遂げるでしょう。

槍フィッシングと捕鯨

一般的なフィッシング攻撃と同様に、槍フィッシングと捕鯨は信頼できる情報源からの電子メールを使用して犠牲者をだましている。 しかし、広範なネットを投げるのではなく、spear phishingは特定の個人をターゲットにしたり、信頼できる人になりすまして資格情報や情報を盗みます。

槍フィッシングのように、捕鯨は特定のターゲットの周りにキャンペーンを作成しますが、より大きな魚を念頭に置いています。 部門やチームのような幅広いグループを標的にするのではなく、これらの攻撃者は、幹部やインフルエンサーのような高レベルの目標に槍を向けることに クジラハンターは、Ceo、Cfo、HRの頭などのような上級管理職になりすますように努めています。、攻撃者にとって価値のある機密情報を明らかにするために、組織のメンバーを説得します。 捕鯨の遠足が成功するためには、攻撃者は鯨を正確に偽装することを期待して、通常よりも詳細な研究を行う必要があります。 攻撃者は、従業員や他のクジラが自分の要求を調べたり質問したりしないように説得するために、クジラの権限を使用しようとしています。

逸話的に、私は個人的に詐欺師が私のCEOとしてポーズをとって、彼らが私に電話して好意を求めることができるように私の電話番号を求めていた前の会社でクジラの攻撃の標的にされています。 幸いなことに、電子メールには詐欺の兆候がたくさんありました。 最も明白なCEOのオフィスであることは私の机からわずか10フィートだったので、彼は私を必要とする場合、彼は簡単に歩いている可能性があります！

クローンフィッシング

クローンフィッシング攻撃は、槍やクジラ釣りよりも創造的ではありませんが、依然として非常に効果的です。 この攻撃スタイルは、フィッシング詐欺の中核テナントのすべてを持っています。 ただし、ここでの違いは、特定の要求を持つユーザーや組織を装うのではなく、攻撃者が信頼できる組織によって以前に送信された正当な電子メールをコ ハッカーは、元の電子メールに含まれている実際のリンクを置き換えて、被害者を詐欺サイトにリダイレクトし、実際のサイトで使用する資格情報を入力するようにユーザーを欺くためにリンク操作を採用します。

メールフィッシング詐欺の例

詐欺師は、AmazonやWalmartなどの小売業者からの公式に見えるメールをなりすまし、注文を完了できるように資格情報や支払情報を入力する必要があると主張するのが一般的です。 電子メールに埋め込まれたリンクは、あなたの機密情報を入力するために本物のように見えるランディングページに移動します。

パンデミックと進化するデジタル小売環境のために、これまで以上にオンラインで買い物をする人が増えているため、詐欺師は今年残業します。 ホリデーシーズン中に、これらのタイプの詐欺は、すべてのギフト購入の出来事のために指数関数的に増加します。 多くの人々は、彼らが彼らの注文に問題があることについて二度考えていないので、多くの購入を持っています。

2020年のホリデーシーズン中に上昇したフィッシング詐欺の例として、Amazonからのなりすましメールがあり、注文を完了するために支払いと配送情報を更新す

個人的な経験から、私は出荷、到着日、確認などについてAmazonから一定の電子メールを取得します。 私がこれらの攻撃で何を探すべきか分からなければ、私は簡単に詐欺のために落ちるでしょう。

フィッシングメールの解剖学

フィッシングメールの最も一般的なコンポーネントを整理しました。 あなたの知識をテストするために私たちの完全なインフォグラ

件名

フィッシングキャンペーンは、通常、メールの件名から始まる激しい言語と恐怖の戦術を使用して緊急性

“From”フィールド

電子メールは、カスタマーサポートなど、認識された会社内の正当なエンティティからのものであるように見えます。 しかし、よく見ると、送信者の名前と電子メールアドレスの両方が、実際のベンダーではなく、既知のブランドのなりすましであることがわかります。

“To”フィールド

フィッシングメールは、多くの場合、受信者を”ユーザー”または”顧客”としてアドレス指定し、人間味のないものです。”

本文のコピー

件名と同様に、フィッシングメールの本文のコピーは、通常、読者が考えずに行動するよう促すために緊急の言語を採用しています。 フィッシングメールは、多くの場合、文法と句読点の両方の間違いだらけです。

悪意のあるリンク

不審なリンクは、フィッシングメールの主な景品の一つです。 これらのリンクは、多くの場合、（ビットを介して）短縮されます。lyまたは同様のサービス）または偽の電子メールの会社とメッセージに対応する正当なリンクのように見えるようにフォーマットされています。

恐怖の戦術

緊急の言語に加えて、フィッシングメールはしばしば恐怖の戦術を採用し、読者が警報や混乱から悪意のあるリンクをクリックすることを期待しています

電子メールのサインオフ

電子メールの挨拶と同様に、サインオフはしばしば人間味のないものであり、通常は人の名前や対応する連絡先情報ではなく、一般的な顧客サービスのタイトルです。

Footer

フィッシングメールのフッターには、誤った著作権の日付や会社のものと一致しない場所など、偽物の兆候が含まれていることがよくあります。

悪意のあるランディングページ

フィッシングリンクをクリックすると、悪意のあるランディングページに移動することがよくあります

攻撃を防ぐ方法

フィッシングキャンペーンに対する最善の防御は知識です。 攻撃者は、できるだけ説得力のあるようにフィッシング詐欺を作成しますが、彼らは多くの場合、茶番を明らかに伝える物語の兆候を持っています。 定期的なデータセキュリティとソーシャルエンジニアリングトレーニングを必要とすることは、組織が悪意のある電子メールの兆候を

信頼できるソースからのものであっても、リンクをクリックしたり、ファイルをダウンロードしたり、資格情報を共有したりするよう求める電子メールを受信したときに確認する必要があります:

• メールの送信元の名前とドメインを再確認します
  • • ほとんどの正当な電子メールは@から来ませんgmail.com,@live.com、等。 彼らは通常、プライベートドメインからのものになります
• 件名と本文に明らかなスペルミスをチェックする
• “to”と”from”の行は一般的です
• 資格情報を共有しない—正当な送信者はそれらを求めることはありません
• 添付ファイルを開いたり、疑わしいリンクをダウンロードしたりしない
• あなたのITセキュリティを扱う人に不審なメールを報告する

あなたが受信したと思われる場合は、

フィッシングメール、それまたは任意の添付ファイルをクリックしないでください。 代わりに、それにフラグを立て、適切な当局に報告してください。 それはあなたの組織のIT部門、電子メールがなりすましられている会社、またはGoogle、Microsoftなどの電子メールドメインプロバイダーにある可能性があります。

餌を取らないでください

フィッシング攻撃から保護することになると、知識は力です。 これらの詐欺師は、詐欺が成功するために彼らの策略のために落ちるあなたに完全に依存しています。 あなたはフィッシング詐欺をスポッティングの専門家であると信じている場合でも、あなたはあなたのガードを失望させることはできません。 フィッシング技術や電子メールは、時間が経つにつれて検出するために、より洗練された、挑戦を取得していきます。 私たちの日常生活がデジタル化され続けている限り、ハッカーは常に無実の人々を金銭的利益のために利用するためにそこにいます。 安全に滞在し、すべての上に保つための最良の方法は、フィッシング詐欺の最新の形態に自分自身を教育し続けることです。