2021年も巧妙だった不正メール–日本での傾向と手口、予想

今回は「2021年も巧妙だった不正メール–日本での傾向と手口、予想」についてご紹介します。

関連ワード （セキュリティ等） についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。

　メールによるスパムやフィッシングの手口は、2021年のコロナ禍でも巧妙化が進んでおり、2022年は、より複雑化することが予想されるという。メールセキュリティサービスを手がけるフランスのVade Secureが、日本での脅威動向と今後の予想を紹介した。

　同社は、通信事業者のメールサービスにおけるセキュリティ対策と、一般企業向けにMicrosoftのクラウドサービスと連携するメールセキュリティ機能を提供する。保護するメール受信箱（同社はこう表現する）は約10億件、日本では約1億5000件といい、実際に受信するメールの送信元や内容を解析して、スパムやフィッシングなどの犯罪からユーザーを保護している。

　テクニカルアカウントディレクターの関根章弘氏によると、同社が2020年10月から2021年9月に対処した犯罪メールの動向は、2021年5月以降にスパムとフィッシングの量が増加した。また、犯罪メールの発信元のIPアドレスが自国内となっている割合は、米国では65％、フランスでは43％だが、日本では23％だった。日本は、米仏に比べて海外を発信元とする犯罪メールの割合が高かったという。

　日本で見られた犯罪手口の特徴として、スパムでは「金銭を容易に稼げる」といった内容のキャンペーンや出会い系サービスなどを装うメールから悪質なウェブサイトに誘導し、「サービス利用に必要」などどして実効性の無いポイントを購入させたり、個人情報やクレジットカードなどの情報を入力させたりする。

　また、セキュリティ対策システムによる検知から逃れるために、メール内で無意味な文字列や特殊文字、正規のドメインやコンテンツ、空行を混入させているケースが目立つ。メールからウェブサイトへ誘導する間に、いったん別の正規のブログサイトを経由させる手口も見られたという。

　フィッシングでは、犯罪メールから誘導される偽サイトの見た目が正規サイトとほぼ同じで、人間の目で見分けることはほぼ不可能だという。また従来は、偽サイトを見分ける方法として、URLの文字列や「HTTPS」の有無などのセキュリティ状況を確認することが推奨されていたが、現在では偽サイトでも「HTTPS」であることが多く、URLの文字列もモバイル環境では省略されて容易ではないなど、難しくなっているという。

　2022年に予想される脅威動向として関根氏は、「リモートワークを行う従業員を狙った新たな攻撃」「フィッシングの手口の巧妙化」「サイバー攻撃での人工知能（AI）技術の利用」「中間者（Man in the middle）攻撃の増加」を挙げる。特に企業は、業務用メールアドレスの従業員の私的利用や、部署などで共有するアドレスの悪用にも注意すべきと指摘する。

　「リモートワークを行う従業員を狙った新たな攻撃」では、「人事評価」を装う犯罪メールが2週間で100万通、1日当たり最大20万が海外で確認された。犯罪者は、標的にした企業や組織が導入している業務用のSoftware as a Service（SaaS）などを装い、なりすましメールから偽サイトに誘導して、従業員のアカウント情報などを入力させようとする。

　関根氏によれば、コロナ禍以前のオフィスへ出社する機会が多い時代なら、不審なメールを受け取っても、その場で同僚などに確認することができた。しかし、在宅など周囲に同僚がほとんどいないリモートワークではそれができず、だまされてしまう危険性が高まるという。また、働き方改革などの一環で業務アプリケーションを著名なSaaSに切り替える企業や組織も増えており、正規のSaaSになりすます犯罪手口の広がりも懸念される。

　「中間者（Man in the middle）攻撃の増加」についても、SaaSと並んで多要素認証も導入する企業や組織が増えており、犯罪者が不正アクセスを図るためにワンタイムパスワードなどを盗み取ろうとすることが予想されるという。業務用メールアドレスの従業員の私的利用も、これらと同様に従業員のアカウントや認証などの情報が窃取される危険性をもたらすという。

　長引くコロナ禍により業務のIT環境が様変わりする中、サイバー犯罪者や攻撃者は変化を捉えて手口を変えてくるため、脅威を防ぐにはちょっとした気付きや違和感も重要になってくる。関根氏は、「例えば、新しい業務のツールやサービスを導入するなどの連絡が来ても一呼吸を置いて社内に問い合わせて確認するといった慎重さも必要になる」と話す。 同社としては、人工知能（AI）などを活用した技術的な脅威対策も進化させていくとしている。