フィッシング

フィッシングは、人々を敏感な情報を明かさせたり、害のある行動を取らせたりするために使われる偽装されたサイバーアタック技術です。

定義

フィッシングは、攻撃者が信頼できる会社、個人、またはサービスを偽装して、パスワード、支払い詳細、アカウント資格情報、またはその他の機密データを取得するためのソーシャルエンジニアリングの一種です。これらの攻撃は通常、メール、SMSメッセージ、電話、偽のウェブサイト、ソーシャルメディアメッセージ、または悪意のある添付ファイルを通じて届きます。多くの場合、フィッシングキャンペーンは、緊急感、恐怖、または報酬を創出することで、被害者をリンクをクリックさせたり、ファイルをダウンロードさせたり、個人情報を入力させたりします。オンライン広告やアフィリエイト詐欺の環境においても、フィッシングはユーザーの身分を盗む、盗まれた支払い方法を悪用する、または正当なオファーを偽装して不正な手数料を生み出すために使用されることがあります。

長所

• 他のサイバーアタック方法に比べて非常に少ない技術的スキルで実行できる。
• 自動化されたメール、SMS、またはメッセージ配信キャンペーンを通じて大規模に配布できる。
• ソフトウェアの脆弱性ではなく、人間の行動を悪用することで多くの場合成功する。
• スピアフィッシングやエグゼクティブの偽装など、非常にターゲットに合わせた攻撃に適応できる。
• マルウェア、資格情報の盗難、または金融詐欺の計画と組み合わせることができる。

短所

• 現代のスパムフィルター、フィッシング対策ツール、ブラウザの保護によって多くの攻撃がブロックされる。
• ユーザーが不審なメッセージや偽のウェブサイトを認識する能力が向上している。
• フィッシングキャンペーンは、報告、追跡、迅速な停止が可能である。
• 攻撃者が特定されると法的結果を受けるリスクがある。
• 設計が悪いフィッシングの試みは、スペルミス、偽のドメイン、または異常な要求により多くの場合簡単に検出される。

使用例

• ユーザーにアカウント資格情報を確認するように求める偽の銀行メールを送信する。
• 企業ツール、クラウドサービス、または電子商取引プラットフォームの偽造されたログインページを作成する。
• 配達会社や支払い提供者を偽装するSMSフィッシングキャンペーンを使用する。
• 会社の従業員を標的としたスピアフィッシング攻撃を実施して内部アクセス資格情報を盗む。
• 正規のアフィリエイトプログラム、オファー、または広告主を偽装してユーザーのデータを収集し、支払い詐欺を犯す。