フィッシング攻撃を防ぐ方法：効果的なフィッシング対策

フィッシングとは、詐欺師が悪意のあるリンクをクリックさせたり、機密情報をだまし取ったりしようとする詐欺の一種です。多くの場合、詐欺師は信頼できる組織や人物になりすまします。フィッシングはサイバーセキュリティ上の主な脅威の一つであり、ほぼすべての組織や個人が、これまでに、あるいは今後いずれかの時点で標的になる可能性があります。

その概念自体はシンプルであるにもかかわらず、フィッシングは現在でも多くの攻撃者によって使われ続けている、非常に成功率の高い手口です。本記事ではフィッシングとは何か、フィッシングを利用した詐欺の種類、そしてフィッシング攻撃から身を守る方法について解説します。

知っておくべきフィッシング攻撃の種類

すべてのフィッシング詐欺には共通したパターンがありますが、その形態は多岐に渡ります。ここでは、代表的なフィッシング詐欺の種類をいくつかご紹介します。

メールフィッシング

メールフィッシングは、最も一般的なサイバー攻撃の一つです。詐欺師は悪意のあるメールを作成し、個人情報を盗んだり、偽のウェブサイトへのリンクをクリックさせたりしようとします。また、場合によっては、マルウェアが仕込まれた添付ファイルやファイルをダウンロードさせようとすることもあります。

メールフィッシングでは、緊急性をあおる表現や脅迫、現実離れした報酬の提示といったソーシャルエンジニアリングの手法が使われます。多くの場合、メールフィッシングはより大規模な詐欺の最初のステップです。一度詐欺師が個人情報を入手したり、被害者を偽のウェブサイトに誘導したりすると、なりすましや個人情報の悪用など、さらなる攻撃につながる可能性があります。

スピアフィッシングとホエーリング

スピアフィッシングとは、特定の個人や組織を狙い、高度にパーソナライズされた情報を用いて信頼関係を築いて相手を誘導する手口のことを言います。詐欺師は、職業や同僚、興味・関心、友人関係など、対象者に関する情報を入念に収集し、従来の検出方法をすり抜けやすい、説得力のあるメールを作成します。スピアフィッシングのメールには、ランサムウェアが仕込まれていることも多いです。

ホエーリングも同様の手法を用います。しかしホエーリングでは、詐欺師は偽の法的文書や請求書を使い、特に経営幹部などを標的とします。CEOやCFOになりすまし、あたかも自分に権限があるかのように被害者に見せかけるのです。このケースでは、例えば「CEO」から緊急の銀行振込を求める偽のメールが届いたりします。

スミッシングとビッシング

スミッシングは、メールではなくSMSを使って行われるフィッシング詐欺です。これは、ユーザーをだまして悪意のあるリンクをクリックさせたり、機密情報を入力させたりすることを目的としています。多くの場合は、銀行や配送業者、政府機関など、連絡が届く可能性のある組織を装います。

ビッシングもスミッシングと似た手口ですが、電話やVoIP（Voice over Internet Protocol）を利用します。近年では、AI技術を活用するビッシング詐欺も増えています。これは、AIツールを使えば、特定の人物の声を偽装することができるからです。

フィッシング詐欺を見抜く方法

フィッシングは、なりすましや操作、そして緊急性をあおることで被害者をだまします。こうした手口を認識しておくだけでも、詐欺に引っかかるのを防ぐうえで非常に効果的です。

フィッシングを見抜くには、以下のような危険信号に注意してください。

• 一般的な宛名に注意：フィッシング詐欺師は、一斉送信される詐欺メールで、「ユーザー各位」や「お客様各位」のような、宛名を特定しない一般的な宛名をよく使用します。
• 不審なリンクや添付ファイルをクリックしない：予期せぬリンクや添付ファイルには、マルウェアが仕込まれていることもありますし、個人情報を収集されたり、詐欺サイトへ誘導されたりする可能性もあります。ですから、リンクをクリックする前には、必ずリンクにマウスオーバーし、URLが正当なドメインのものであるかを確認してください。マクロの有効化やスクリプトの実行を促す添付ファイルも、危険信号と考えるべきです。
• AIが使われている兆候に注意：AIツールを使用することで、フィッシング詐欺師はプロが作成したようなメールを簡単に作成できます。文章表現には、特に注意しましょう。AIのプロンプトやChatGPTの指示文に似たフレーズや書式は、AI使用の兆候だと考えられます。
• 機密情報の要求は無視する：パスワードや社会保障番号、社内ファイルなどの機密情報を求める依頼には、決して応じないでください。依頼が同僚や上司からのものであっても、返信する前に、その依頼が正当なものかを必ず別の手段で確認しましょう。
• 緊急性を強調する表現や、うますぎる話に注意：緊急性を強調する表現、特に解雇やアカウントの閉鎖などの脅迫と組み合わされている場合は、注意が必要です。例えば、CEOを名乗る人物から「特定のファイルを送らなければ解雇する」といった内容のメールが突然届くかもしれません。同様に、うますぎると感じる期間限定のオファーにも警戒してください。話がうますぎると感じるなら、ほとんどの場合詐欺です。
• なりすましメールを確認する：メールアドレスに不審な点がある場合は、組織の公式ウェブサイトに記載されているメールアドレスと比較し、ドメインが一致しているかを確認してください。

フィッシング攻撃を防ぐための8つの実用的なヒント

ここでは、フィッシング攻撃から身を守るために実践できる、8つの簡単な手順をご紹介します。

クリックする前に注意し、よく考える

フィッシングメッセージは、パニックや緊急性をあおるように作られていますが、それに引っかからないようにしましょう。URLにカーソルを置いて、リンク先を確認してください。メールアドレスや文章表現、ブランド表記に不自然な点がないかをチェックしましょう。

短縮リンクにも注意が必要です。多くのSNSでは利便性のためにリンクを短縮できますが、これにより、正規のサイトにつながるのか、詐欺サイトにつながるのかを見分けることが難しくなります。

メッセージが本物か詐欺か判断できない場合は、別の手段を使用して、送信者に連絡しましょう。例えば、企業からのメッセージを受け取った場合は、その企業の公式カスタマーサポートに直接問い合わせて確認してください。

多要素認証（MFA）と強力なパスワードを使用する

多要素認証が有効なアカウントでは、パスワードに加えて、スマートフォンに送信されるコードなどの追加の認証が必要になります。仮にハッカーがログイン情報を入手したとしても、2つ目の認証手段がなければ、アカウントにアクセスできません。

また、常に強力かつ固有のパスワードを使用することも重要です。同じパスワードを使い回していると、パスワードが漏えいした際に、複数のアカウントが簡単に乗っ取られてしまいます。アカウントごとに固有のパスワードを生成し、安全に管理するためには、ExpressVPN Keysのようなパスワードマネージャーを利用しましょう。

ソフトウェアを最新に保ち、セキュリティを確保する

セキュリティアップデートは、アプリやデバイスに存在する重大な脆弱性を修正するためのものです。ソフトウェアを更新しないままでいると、既知の脆弱性を悪用したフィッシング攻撃にさらされる可能性があります。

ウェブサイトのSSL証明書を確認する

機密情報を入力する前に、ウェブサイトが有効なSecure Sockets Layer（SSL）／Transport Layer Security（TLS）証明書を使用したHTTPS接続であることを確認してください。ブラウザのアドレスバーに南京錠のアイコンが表示されていれば、通信中のデータが暗号化されて保護されていることを示しています。

ただし、SSL証明書があるからといって、そのサイトが必ずしも安全とは限りません。フィッシングサイトもSSL証明書を取得できるからです。SSL証明書は、明らかに危険なサイトを見分ける助けにはなりますが、絶対に確実というわけではないため、他の対策と併用しましょう。

機密性の高い操作をする際は公共Wi-Fiの使用を避ける

公共Wi-Fiネットワーク自体が危険というわけではありませんが、プライベートネットワークに比べると、ハッカーがデータを盗み見たり収集したりしやすいのは事実です。特に、ネットワークがパスワードで保護されていない場合はなおさらです。

こうして傍受されたデータは、個人をターゲットにしたフィッシング詐欺に利用される可能性があります。公共Wi-Fiに接続している間は、機密性の高いアカウントへのログインや業務用メールへのアクセス、支払い情報の入力は避けてください。さらに、高品質なVPNを使用してデータを暗号化し、IPアドレスを隠すことも重要です。

フィッシング対策ツールバーとメールフィルターを使用する

ほとんどのブラウザやメールサービスは、デフォルトでフィッシング対策技術を使用しています。メールの設定を確認し、スパムフィルターが有効になっていることを確かめてください。また、スパムフィルターが効果的に機能するよう、メールクライアントは常に最新の状態に更新しておきましょう。さらにセキュリティを強化するために、不正なサイトを警告してくれる ExpressVPN Advanced Protectionのようなフィッシング対策ツールを利用するのもおすすめです。

アカウントの不審なアクティビティを定期的に監視する

メールのログイン履歴やSNSアカウント、金融情報などを定期的に確認し、身に覚えのないログインや不審なアクティビティがないかを確認してください。異常を見つけた場合は、すぐに対応することが重要です。

多くのサービスでは、新しいログイン試行があった際に通知する、自動アクティビティアラートを有効にできます。ただし、詐欺師が偽のアクティビティアラートを送信し、認証情報をだまし取ろうとするケースもあるため、注意が必要です。

フィッシングの脅威について自分自身と周囲の人を教育する

最新のフィッシング手口の傾向や安全対策について常に情報を把握し、周囲の人にも共有するよう心がけましょう。こうした意識を高めることは、フィッシング攻撃を防ぐ最も効果的な対策の一つです。

フィッシング攻撃の疑いがある場合の対処法

まずは、冷静さを保ちましょう。メール返信以外に何もしていない場合、詐欺師とのやり取りをすべて停止してください。フィッシングサイトに機密情報やログイン情報を入力してしまった場合は、直ちにそれ以上の操作を中止しましょう。

フィッシング攻撃の被害に遭った場合の対策手順

フィッシングリンクをクリックしたり、詐欺師に個人情報を提供してしまった場合は、事態が悪化する前に以下の手順を実行してください。

1. すぐにインターネットから切断する：これにより、デバイスからさらなるデータが流出するのを防ぎます。
2. パスワードを変更する：フィッシング被害に遭ったアカウントはすぐにパスワードを変更し、その後、すべてのパスワードを変更しましょう。ExpressVPN Keysなどの信頼できるパスワードマネージャーを使用すると、この作業をより安全かつ簡単に行えます。
3. 多要素認証を有効にする：パスワードを変更したら、多要素認証が利用可能なすべてのウェブサイトやアプリで、多要素認証を有効にしてください。
4. ウイルス対策ソフトでフルスキャンを実行する：信頼できるウイルス対策ソフトを使用して、コンピュータに感染した可能性のあるマルウェアを検索してください。
5. 金融機関に連絡：銀行やクレジットカード会社に状況を報告し、不審なアクティビティをチェックしてもらい、アカウントを保護してください。
6. アカウントの監視：不審なアクティビティの兆候がないか、引き続き注意深く確認しましょう。個人情報を共有してしまった場合は、本人情報の悪用を防ぐため、三大信用調査機関のいずれかに連絡してクレジットを凍結することを検討しましょう。
7. 詐欺行為について使用しているメールサービスに報告：メールサービス提供元が調査を行い、さらなる悪用を防ぐために、詐欺師のアカウントを無効化することができます。
8. 当局に詐欺行為を報告：例えば米国なら、インターネット犯罪苦情センター（IC3.gov）や連邦取引委員会（FTC）に報告できます。詐欺師が政府機関を装っている場合は、サイバーセキュリティ・インフラセキュリティ庁（CISA）や最寄りのFBI支局にも通報してください。

さらに、企業の場合は：

9. IT部門またはサイバーセキュリティの専門家に報告：役職に関わらず、すべての従業員はフィッシングの試みをIT部門またはセキュリティチームに報告し、迅速に対応できるようにしなければなりません。
10. インシデント対応計画の実行：サイバーインシデント発生時に備えて社内で定められた、インシデント対応計画に従って行動してください。

フィッシング対策のための組織戦略

組織は、適切なトレーニング、サイバーセキュリティツール、そしてユーザーの意識向上を組み合わせた多層戦略によって、フィッシング対策を強化できます。

従業員教育と定期的なトレーニング

従業員の教育と意識向上は、組織を守るうえで最も重要な部分です。フィッシング攻撃の多くはユーザーのミスによって成功します。例えば、従業員が上級管理職になりすました詐欺師に対し、誤って不正なアクセスを許可してしまうケースは、その一つとして挙げられます。

従業員がフィッシング詐欺に気づけるようにし、最新の手口を把握して、よくある罠を回避する方法を理解できるよう、定期的なトレーニングを実施しましょう。また、詐欺の報告が簡単に行える体制を整え、報告することに抵抗を感じる人が出ないようにすることも重要です。

強力なセキュリティポリシーの導入

強力なセキュリティポリシーを徹底し、適切なソフトウェアを使用することで、多くのフィッシング詐欺が社内に届く前にブロックできます。

• 多要素認証を導入する：社内で使用しているすべてのサービス、メールクライアント、アプリケーションに多要素認証を設定してください。可能な場合はシングルサインオン（SSO）を利用すると、ユーザーが機密性の高いログイン情報を誤って漏らすリスクを軽減できるほか、侵害が疑われる場合の監査も容易になります。
• 強力なファイアウォールを使用する：適切なエンドポイントセキュリティを備えた、強力なネットワークファイアウォールを導入してください。ブロックリストや拒否リストを設定して、悪意のある送信者やウェブサイト、サービスがネットワークにアクセスするのを阻止しましょう。
• DMARCチェックを通過しないメールを拒否する：DMARC（Domain-based Message Authentication, Reporting, and Conformance）は、メールがなりすましではないことを検証する仕組みです。多くのメールサービスではDMARCチェックが行われていますが、検証を通過しなかったメールを自動的に拒否するよう、社内システムを設定しておく必要があります。
• 適切なサイバーセキュリティツールを使用する：DNS（ドメインネームシステム）フィルタリングツールは、悪意のあるサイトや、偽装サイトへのアクセスをブロックできます。また、ネットワーク監視ツールは、受信・送信の両方の通信において不審なアクティビティを検出するのに役立ちます。
• ビジネス向けVPNを使用する：ビジネス向けVPNは、通信中のデータを暗号化し、社内リソースへの安全なリモートアクセスを可能にします。さらに、ネットワークをより効率的に監視・管理するための集中管理ツールも提供します。
• インシデント対応計画を作成する：フィッシング攻撃やその他のサイバーインシデント発生時にチームが取るべき対応を定めた、正式なインシデント対応計画を用意しておきましょう。この計画には、脅威の特定や封じ込め、除去の手順に加え、復旧に関する指針も含める必要があります。インシデント対応計画がなければ、対応が遅れたり、ミスが生じやすくなってしまいます。

定期的なセキュリティ監査とシミュレーション

定期的にセキュリティ監査を実施することで、組織の脆弱性や改善が必要な部分を継続的に把握できます。また、監査では、不正アクセスの試みや、防御をすり抜けていた可能性のあるデータ侵害が明らかになることもあります。

シミュレーションは、防御体制を検証し、弱点を特定するための有効な手段です。ITチームは、従業員が脅威にどう対応するかを評価するために、管理されたフィッシングシミュレーションを実施することがあります。こうしたシミュレーションを定期的に行うことで、フィッシング対策に関する追加の教育が必要な従業員を特定しやすくなります。