Facebookの「友達」がセキュリティを脅かす

進化するソーシャルエンジニアリング攻撃、標的はSNSで物色される

脅威の進化によってソーシャルネットワーキングサービス（SNS）の監視方法がどのように変化しているか。本稿ではソーシャルエンジニアリング攻撃の脅威について解説する。

公開 2018年01月09日 05時02分

更新 2018年01月09日 18時58分

著者

Nick Lewis

[TechTarget]

印刷する

ソーシャルエンジニアリングの舞台はSNSに《クリックで拡大》

　人々は目標を実現するためにより簡単な方法を模索する。これは、攻撃者も同じだ。

　そこで注目されるのが、ソーシャルエンジニアリング攻撃（注）だ。これは人に対する攻撃であるため、技術的な対策は難しい。そして、その手口は画面ののぞき見や電話詐欺のようなものから、ソーシャルネットワーキングサービス（SNS）を攻撃の要素として利用するように変わってきている。

注：不正侵入のためのIDやパスワードを物理的、あるいは心理的な手段によって獲得する行為。

　本稿では、SNSを利用したソーシャルエンジニアリング攻撃と、それに対する企業の防衛策がどのように進化しているかを考える。

併せて読みたいお薦め記事

標的型攻撃の最新事情

企業の中のSNS

ソーシャルエンジニアリングの進化

　ソーシャルエンジニアリング攻撃に必要なスキルは、新しいゼロデイ攻撃を考えたり、技術対策をかいくぐったりする新たな方法を発見するのとは異なり、比較的容易に取得できる。ソーシャルエンジニアリングの標的になるのは常に、ルート権限（UNIX系OS）やアドミニストレーター権限（Windows系OS）など、システムへのアクセス権を持つ人物だった。

　現在のソーシャルエンジニアリングはフィッシング（詐欺サイト）の変種であり、スピアフィッシング（標的型メール攻撃）、ホエーリング（企業幹部を狙ったフィッシング）、スミッシング（携帯電話のSMSを使ったフィッシング）などと同じ基本技術を多数使用し、SNSにおいて、標的が要求された行動を取るよう誘導する。

　具体的に使用されるテクノロジーやメディアは、用いられるテクニックほど重要ではない。ソーシャルエンジニアリング攻撃は、本物に見える人物を信用してしまう錯覚を利用する。

　Dell SecureWorksは、同社が「Mia Ash（ミア・アッシュ）」と名付けたソーシャルエンジニアリング攻撃に関するブログ記事をWebに公開した。Mia Ashは、悪意のあるマクロが組み込まれた「Microsoft Word」文書を含む添付ファイルを、SNSを利用して標的に送信し、その添付ファイルを開かせる。Word文書を開かせてマクロが実行されたら、「Windows PowerShell」のコマンドを実行し、「PupyRAT」というマルウェアをダウンロードする。その結果、攻撃者はシステムを完全に乗っ取ることができる。ただし、そのためには標的となるユーザーがシステムへの管理者アクセス権を所有している必要がある。

　Mia Ashは、「Facebook」や「LinkedIn」に実在すると思われる人脈や写真を用いる。この攻撃は、従来のフィッシング攻撃によく似ており、信頼される電子メールに悪意のあるURLや添付ファイルを潜ませる。

SNSを悪用する攻撃に対する企業の防御策

　ソーシャルエンジニアリング攻撃を防御するには、企業のIT環境を注意深く監視するなど、階層型の保護が必要になる。全てのソーシャルエンジニアリング攻撃を阻止するのは不可能なため、企業のセキュリティチームは監視、対応、トレーニングに重点的に取り組む必要がある。

　セキュリティ意識の啓発トレーニングでは、ソーシャルエンジニアリングやフィッシングに関する科目が含まれることが多いが、こうしたトレーニングはその有効性が議論されている。防御策を講じ、ネットワークを注意深く観察することは必要だが、消費者や従業員のプライバシーに悪影響を及ぼす可能性がある。このため、IT環境を監視していることを顧客や従業員に周知することが必要だ。

　ソーシャルエンジニアリングのリスクを評価する際に他にも検討すべき項目は、攻撃の阻止に必要なプロセスの複雑さだ。この複雑さによって、システムがより脆弱（ぜいじゃく）になり、管理が難しくなる可能性がある。また、監視のために追加のリソースが必要になる可能性もある。職場でのSNSの使用を禁止する企業もあるかもしれないが、それをやればスマートフォンや他の一般的なテクノロジーの使用を禁じるのと同程度の影響が生じる。

　Mia Ash攻撃の重要な側面の1つは、攻撃者が標的に添付ファイルを開かせることだ。そのため、その添付ファイルがメールで送信されたり、悪意のあるWebサイトに掲示され水飲み場型攻撃に使用されたりする可能性もある。つまり、SNSの使用を禁じただけではこの攻撃を防げない可能性があるのだ。SNSの安全な利用法とインシデント対応に関するセキュリティ意識を高めるトレーニングを行う方が効果的かもしれない。

　インシデント対応トレーニングの一環として、潜在的な問題を報告する方法や、怪しそうな事象について質問を送る方法を確認しておくべきだ。例えば、添付ファイルを開くように要求された場合、企業の機密情報を提供するように求められた場合、疑わしいWebサイトにアクセスするよう指示された場合などには質問を送るように指導する。SNSについてのトレーニングでは、実生活で知っている人や直接会った人としかつながらないよう助言することなどを含めるようにする。

　Dell SecureWorksでは、Microsoft Officeのマクロを無効にし、エンドポイントセキュリティツールを使用するなど、基本的なセキュリティ対策を行うことも推奨している。このようなツールでは、ホワイトリストを用いるか、承認されたPowerShellコマンドのみの実行を許可することで、悪意のある実行可能ファイルが実行されるのを阻止できる。

　同様に、全ての実行可能ファイルをシステムで実行することで、悪意のあるコマンドや実行可能ファイルを検出できる可能性がある。ただし、この方法は、エンドユーザーが管理者として実行するようにエンドポイントが構成されていないことが前提になる。

結論

　セキュリティの専門家にとって、やり手のスパイに攻撃されているところを想像するのは面白い。そして、このような攻撃はニュースの大きな見出しになる。だが、技術的な対策で攻撃を阻止するのが非常に困難な場合もある。環境を保護するには、技術対策が失敗する理由と、障害や疑わしい活動を監視する方法を理解しておくことが重要だ。

印刷する