はじめに、スピアフィッシングとはなにかを説明します。また、フィッシング攻撃との違いや、ホエーリングとの違いについて解説します。 

スピアフィッシング攻撃は、標的をだまして組織の機密情報や個人情報などの重要データを盗むことを目的とした「フィッシング攻撃」の一種です。フィッシング攻撃のうち、攻撃対象を特定の人物や企業に絞って行われる場合にスピアフィッシングと呼びます。

スピア（spear）は槍を意味する英単語であり、槍で射ぬくように特定のターゲットを狙い撃ちするフィッシング攻撃であることから、スピアフィッシングと名づけられています。

攻撃者は標的の組織や人物が実際に関わりのある取引先や利用サービスを名乗るなど、ターゲットがひっかかりやすいように工夫してメールやSMSで攻撃をしかける点が特徴です。

スピアフィッシングとフィッシングの違いを説明するために、まずはフィッシング攻撃について簡単に紹介します。

フィッシング攻撃とは、攻撃者が送信元を偽装したり正規の企業を名乗ったりすることで標的をだまし、組織や個人の機密データ漏えいやマルウェア感染などを狙う攻撃のことです。標的を絞らず不特定多数にメールをばらまき、誰かが罠にかかることを目的にするケースもあります。

スピアフィッシング攻撃は、標的を欺いて情報漏えいなどを狙う点で、フィッシング攻撃の一種といえます。ただしフィッシング攻撃の中でも、特定の組織や人物にターゲットを絞って攻撃が行われるという違いがあります。

スピアフィッシングを含むフィッシングの報告件数は、右肩あがりで増加しています。

フィッシング対策協議会の「フィッシングレポート2023」によると、2017年から2022年にかけてフィッシングの届出件数は100倍近く増加しています。2022年の届出件数は、約96万件にのぼりました。

 さらに、フィッシング対策協議会の「月次報告書」によると、2023年上半期のフィッシング届け出件数は約53万件であり、前年同期比で約8万件増加したことがわかっています。したがって、フィッシング攻撃による被害は急激に増加しており、各組織や個人で慎重に対策を行う必要があるといえるでしょう。 

また同レポートによると、標的の情報窃取を目的としたフィッシングサイトのURL数は、2022年上半期に約8万件であったものが、2022年下半期には約22万件まで増加しているとのことです。

ホエーリングはスピアフィッシングの一種といえますが、ターゲットに違いがあります。ターゲットを絞って攻撃をしかけるスピアフィッシングのうち、特に高い社会的地位にある役職者や裕福な人物などを狙った攻撃をホエーリングと呼びます。

ホエーリングとはクジラ漁を意味する言葉であり、クジラのように大型の獲物、つまりCEOなどの経営層や著名人などを狙うという特徴から名づけられています。

ホエーリングの標的となる企業の経営層などは、一般社員と比べると企業ホームページやSNSなどから名前や連絡先などの情報を集めやすく、ターゲット用にパーソナライズした攻撃メールやSMSを準備しやすいです。

こちらでは、スピアフィッシングの特徴についてフィッシングとの違いにも触れながら解説します。 

フィッシング攻撃は不特定多数の個人が標的となるケースが多いです。一方でスピアフィッシング攻撃では、特定の人物や企業に絞って攻撃がしかけられる点が特徴です。より価値のある情報を盗むために、企業の経営層や財務部門などが狙われることがあります。 

スピアフィッシングでは、SMSやメールを攻撃方法として用いるケースが主流です。攻撃者は、送信元を偽装したり正規の企業になりすましたりすることで、標的が本文のURLや添付ファイルをクリックしたくなるようなメールやSMSを送りつけます。

フィッシングは、ターゲットを特定せず不特定多数の個人のうち誰かがひっかかることを目的とする点が特徴です。

そのため、世の中で広く利用されているECサイトや大手クレジットカード会社などを名乗り攻撃をしかける事例が多いです。

一方スピアフィッシングは、攻撃者がターゲットとなる企業や人物の情報をインターネット上などで入念に調べ、ターゲット用にカスタマイズした内容のメールを送りつけるという点が特徴です。

そのため、不特定多数をターゲットにしたフィッシングメールよりも、悪意のあるメールであることに気づきづらいという特徴があります。

フィッシング攻撃は、不特定多数の個人を狙った攻撃が多いため、被害の大きさは個人単位にとどまります。具体的には、クレジットカード情報や連絡先などの個人情報流出や、個人のクレジットカードの不正利用といった事例が確認されています。

一方でスピアフィッシングでは、攻撃者にとって価値のある情報をもっていると思われる企業や人物が狙われやすいです。そのため、攻撃の成功により情報漏えいや不正アクセスが発生した場合の被害が大きい傾向にあるという特徴があります。

スピアフィッシング攻撃はどのような流れで行われるのでしょうか。こちらではよく使われる攻撃手口を説明します。 

攻撃者は、まず標的となる企業や人物を定めます。

スピアフィッシングは、より価値のある情報の窃取を目的として一般の個人よりも企業の従業員や経営層、経理担当などをターゲットに設定するケースが多いです。

続いて、攻撃者はターゲットに関する情報収集を行います。ターゲットをだまし情報を盗むために、インターネット上で公開された企業情報やSNSなどから標的を信用させるために必要な情報を入念に調査します。

また、情報収集フェーズでは「ソーシャルエンジニアリング」という手法が用いられることがあります。「ソーシャルエンジニアリング」は、情報通信技術を使用せずに情報を盗む攻撃手法です。

例えば、営業担当や問合せ者を装って企業にメールや電話をして、ターゲットに関連する情報を聞きだしたり、SNSなどでターゲットに近づいて親しくなることで情報を聞きだしたりするといった方法があります。

最後に、情報収集で集めたデータをもとに、ターゲット向けにカスタマイズした標的型攻撃メールを作成し、標的の人物に送信します。

不審なメールアドレスや不正なメールサーバを利用してメールを送信すると、企業で導入済みのセキュリティ対策ソフトなどに検知・ブロックされて届かない可能性が高いです。そのため攻撃者は、送信元のIPアドレスを偽装するといった工夫をこらします。

また、攻撃者が不正アクセスによって実在するメールアドレスを乗っ取り、正規のメールアカウントから標的型攻撃メールが送られるといった被害事例も確認されています。

スピアフィッシングの被害事例を2つ紹介します。

2015年5月、日本年金機構は年金加入者約125万人分の個人情報が流出した可能性があることを発表しました。

具体的には基礎年金番号・氏名の組合せが約3万件、基礎年金番号・氏名・生年月日の組合せが約116万件、基礎年金番号・氏名・生年月日・住所の組合せが約5万件流出した可能性があるとしています。

本事例は、機構職員に対して標的型攻撃メールが送られ、ウイルスが仕込まれた添付ファイルを開封したことが個人情報の漏えいにつながりました。攻撃者は、学術機関の職員になりすまして同機構の職員あてにメールし、セミナーの案内状に見せかけた添付ファイルを送ったとみられています。

ウイルスに感染した端末から、機構内のファイルサーバに不正アクセスされて、情報が盗まれたとのことです。

2016年6月、大手旅行会社のJTBは標的型攻撃メールの被害にあったことを公表しました。被害状況として、最大で約793万人分の個人情報が盗まれた可能性があると発表しています。

本事例は、同社の取引先である航空会社系の販売会社を装った者からメールが届き、オペレーターがウイルスが仕込まれた添付ファイルを開いたことで端末がウイルスに感染し、個人情報の流出につながっています。

端末にはウイルス対策ソフトを導入していたものの、ウイルス対策ソフトでは検知できない未知のマルウェアが使用されたため、検知をすり抜けて攻撃が成功したとのことです。

攻撃者はウイルスに感染した端末を悪用して同社の顧客データが格納されたデータベースに不正アクセスし、データをcsvファイルに抽出することで盗み出しました。

スピアフィッシング攻撃では、被害規模の大きい事例が報告されています。こうした深刻な被害から企業を守るために、どのような対策を実施すればよいのでしょうか。

こちらでは、組織で実施すべき対策を紹介します。

ウイルス対策ソフトの導入など技術的な対策を行っても、スピアフィッシングのメールが従業員に届く可能性を0にすることは難しいです。そのため、スピアフィッシングの対策として、従業員のセキュリティ意識を向上させることが非常に重要です。

具体的には、以下3点を徹底的に周知するとよいでしょう。また、フィッシングメールに関する警戒心を高めるために、セキュリティトレーニングを実施したり、標的型攻撃メール訓練を定期的に実施したりすることも大切です。

スピアフィッシングでは、メールの添付ファイルを開封したり、URLをクリックしたことでマルウェアに感染し、情報漏えいにつながるという事例が多く報告されています。

そのため、メールの送信元や件名、本文などに心当たりがない場合や不審な点がある場合は、添付ファイルの開封やURLのクリックは控えるように周知しましょう。

実際の取引先や従業員になりすましてメールがくるため、少しでも不審に思ったら電話など別の手段でメールの内容が正規のものか確認するとよいでしょう。

スピアフィッシングでは、メールから不正なWebサイトに誘導して認証を求めることで、ID・パスワードなどの情報を窃取しようとするケースがあります。

そのため、認証情報の入力が求められた場合は公式サイトからの要求か慎重に確認するように周知しましょう。

近年はフィッシングサイトが急増しており、Webサイトのデザインや文言が正規のサイトとそっくりに作り込まれたものも増えています。こうした偽装サイトを見抜くために、Webサイトの見た目のみで判断せずURLのドメイン名が正しいかといったところまで確認するとよいでしょう。

不審なメールが届いた場合は、企業のセキュリティ担当者などに報告するように徹底周知しましょう。

組織内の複数ユーザに対して、同時にフィッシングメールが届く事例が確認されています。そこで、不審なメールの発見時は迅速に報告してもらい組織内ですみやかに注意喚起を行うことで、被害の発生や拡大を防ぐことができます。

また、メールアプリケーションに不審なメールを報告する機能が実装されているケースもあるため、メール報告機能を有効化して手軽に不審なメールを報告できるような仕組みづくりをするとよいでしょう。

万が一スピアフィッシングにひっかかり、ID・パスワード情報を漏らしてしまった場合に、さらなる被害拡大を防ぐための対応策として、多要素認証の導入は有効です。

スピアフィッシングでは、攻撃者が窃取したID・パスワード情報を悪用してアカウントを乗っ取るケースが多く確認されています。攻撃者は、乗っ取ったアカウントを悪用し、企業の機密データや顧客データが格納されたデータベースサーバやファイルサーバに不正アクセスします。

そこで多要素認証を導入し、仮にID・パスワードが漏えいしてもアカウントを乗っ取ることができないように対策しておくとよいでしょう。

従業員のもとにスピアフィッシングのメールが届くことを防ぐために、組織で利用しているメールアプリケーションのフィルタリング機能を利用しましょう。

メールアプリケーションのフィルタリング機能を有効にすることで、アプリケーション側で不審なメールと判定されたメールはユーザに届けず隔離することができます。

また、URLフィルタリング機能を備えたセキュリティ製品の導入も検討するとよいでしょう。万が一不審なメール内のURLをクリックしても、有害なサイトへのアクセスをブロックすることができます。

スピアフィッシングによるマルウェア感染や不正アクセス対策として、ウイルス対策ソフトやEDR（Endpoint Detection and Response）の導入は有効です。

EDRとは、PCやサーバ、スマートフォンなどエンドポイントと呼ばれる端末に導入することで、端末上での不審な挙動を検知・対処するソリューションを指します。

ウイルス対策ソフトやEDR製品を利用することで、端末に侵入された場合やマルウェアに感染した場合、早期に検知し不審な通信のブロックや端末の隔離といった対応をとることができます。

スピアフィッシングでは、攻撃者が送信元をなりすましてメールを送るケースがほとんどです。DMARCは、そうしたなりすましメール対策に有効なセキュリティソリューションです。

DMARCは、送信ドメイン認証によってメールの送信元が偽装されていないか確認し、偽装されているリスクがある場合は事前に定義したポリシーにそってメールを処理できる技術です。

DMARCを導入することで、送信元が偽装されていないかをチェックし、偽装されていると判定された場合はメールを隔離することが可能になります。

なお、DMARCは受信者側もDMARCに対応していることで有効になる機能です。受信者側のメールサーバにてDMARCの機能が未設定の場合、機能しない点に注意が必要です。

スピアフィッシングは、フィッシング攻撃のうちターゲットを特定の企業や人物に絞って行われる攻撃を指します。

攻撃者は標的の情報を入念に調査したうえで、標的の取引先や従業員などになりすましてメールを送るという特徴があります。そのため、フィッシングメールであるということに気づきづらく、組織レベルで慎重に対策を行う必要があります。

技術的な対策としては、フィルタリング機能をもつ製品、ウイルス対策ソフト、EDR、DMARCなどを導入し、従業員のもとに不審なメールが届かないように多層防御を固めることが有効でしょう。

一方で、フィッシングメールの手口は日々巧妙化しており、技術的な対策で不審なメールが届く可能性を0にすることは難しいのが現実です。そのため、従業員のセキュリティ意識を向上させるための教育も積極的に実施しましょう。

コンサルティングに関しては、専門性を持ったコンサルタントが、徹底して伴走支援するクオンツ・コンサルティングにご相談ください。

①大手コンサルティングファーム出身のトップコンサルタントが多数在籍
②独立系ファームならではのリーズナブルなサービス提供
③『事業会社』発だからできる当事者意識を土台にした、実益主義のコンサルティングサービス

クオンツ・コンサルティングは『設立から3年9ヶ月で上場を成し遂げた事業会社』発の総合コンサルティングファームです。
無料で相談可能ですので、まずはお気軽にご相談ください。