ソーシャルエンジニアリング攻撃に備える

「偽のフィッシングメール」の効果的な使い方

エンドユーザーによって引き起こされるセキュリティ脅威は、ソフトウェアでは防ぎきれない。本稿ではフィッシングやマルウェアなど、IT担当者が従業員に周知すべき脅威と、セキュリティ教育の方法について考える。

公開 2019年04月04日 05時03分

著者

John Powers

[TechTarget]

印刷する

　IT部門の最も重要な役割の一つに、エンドユーザーのミスの防止と、自社のデータや資産のセキュリティ確保がある。最も深刻な脆弱（ぜいじゃく）性の一部はエンドユーザー自身によってもたらされる。

　メールフィルタリングやマルウェア対策、ファイアウォールは、セキュリティにとって重要な要素だ。ただしエンドユーザーが引き起こすセキュリティの問題全てが、ソフトウェアで解決できるわけではない。例えばエンドユーザーはクレデンシャル（ログイン資格情報）を誤って漏らす恐れがある。それはフィッシング攻撃を受けたことが原因かもしれないし、安全性が低いネットワークに接続したことが原因かもしれない。

併せて読みたいお薦め記事

標的型攻撃の最新事情

フィッシングテストについて詳しく

　脅威の種類によっては、危険な行動を取らないようにするための従業員教育が最善の選択肢になる。IT担当者は、セキュリティに関して自社が抱える課題を特定し、エンドユーザー向けのセキュリティトレーニングをしなければならない。今回は、エンドユーザーのセキュリティを強化するのに効果的なトレーニング方法について説明する。

ソーシャルエンジニアリング攻撃とフィッシング

　ソーシャルエンジニアリング攻撃を仕掛ける攻撃者は、エンドユーザーの心理に働き掛け、セキュリティ対策を回避するよう仕向ける。これは恐らくIT担当者にとって、エンドユーザーのセキュリティを脅かす最も重要な問題だ。攻撃者は、メールやソーシャルメディアなどの経路を利用してエンドユーザーに接触する。

　フィッシング攻撃は、メールを使用するソーシャルエンジニアリング攻撃の一つだ。攻撃者はメールに記載したリンクから、エンドユーザーを違法なWebサイトに誘導し、ログイン情報を入力させたり、メールの添付ファイルをダウンロードしたりするように仕向ける。

　攻撃者は、特定のエンドユーザーに狙いを定めて、直接フィッシング攻撃を仕掛ける場合もある。攻撃の標的になるのは、だまされやすいエンドユーザーと、貴重なデータやリソースにアクセスできるエンドユーザーだ。幹部社員が大掛かりなソーシャルエンジニアリング攻撃の標的になるのは、こうした理由がある。

フィッシング攻撃の有効な教育方法

　フィッシング攻撃の被害を防止するために最善の従業員教育方法は、社内で擬似的なフィッシング攻撃を仕掛け、各エンドユーザーのフィッシングメールへの対処方法を確かめることだ。IT担当者は、この案を管理部門と人事部門に伝え、仕掛けたフィッシング攻撃に関する、従業員の問い合わせや相談を受け付ける体制を整えなければならない。管理部門は、このフィッシング攻撃に関して殺到する報告に備えておく必要がある。

　IT担当者がフィッシングメールを作成する際は、攻撃側がよく利用する手口を模倣する必要がある。社内の同僚や、オンラインファイル同期サービス「Dropbox」のようなエンドユーザーが使い慣れたサービスのベンダー、家族／友人からメールが送られてきたように見せなければならない。ソーシャルエンジニアリング攻撃にだまされやすい従業員を見極めるため、できる限り多くの情報を引き出せるようなテストメールを作成することも必要だ。

　フィッシングメールの送信後、誰がだまされるかを追跡し、だまされたエンドユーザーがどの程度機密情報を漏らすかを見極める。その後、フィッシングテストをしたことをユーザーに知らせ、会議やメールを通してその結果を共有する。個人や企業の重要な秘密を漏らしたエンドユーザーには、同じ過ちを繰り返さないよう話し合いの場を設ける。

エンドユーザーにとってのその他のセキュリティ脅威

　脆弱（ぜいじゃく）なパスワード設定は、攻撃者に付け込まれやすいエンドユーザーの行動の一つだ。エンドユーザーは私用と仕事用のパスワードを同じすることが少なくない。そのため攻撃者は、1つのアカウントのログイン資格情報を突き止めたら、同じ資格情報を同じエンドユーザーの別のアカウントにも流用できてしまう可能性がある。IT担当者は、3～6カ月ごとにパスワードの変更を強制するなどのポリシーを適用することもできる。ただしユーザーが以前のパスワードとよく似たパスワードを使ったり、小文字を大文字に変えたりするだけだと、アカウントは脆弱なままになる。

　エンドユーザーが悪意のあるアプリケーションをダウンロードすることも少なくない。攻撃側は、悪意のあるアプリケーションを役立ちそうなアプリケーションに見せかけ、エンドユーザーがダウンロードするよう仕向けて、そのアプリケーションからエンドユーザーのデバイスへアクセスする。ブラックリストやホワイトリストなど、危険なアプリケーションをブロックするシステムを導入している企業もある。そのようなツールを用意していなければ、不審なアプリケーションをダウンロードしないよう、エンドユーザーに周知するしかない。

　社内でのフィッシングテストは追跡が容易で、具体的な結果が得られる。一方でマルウェアのダウンロードや脆弱なパスワードといったセキュリティの問題には、攻撃テストは適さない。なぜなら偽のマルウェアを導入してオンラインでエンドユーザーに見つけさせるには、多くの労力が必要になるからだ。

　攻撃テストが適さないセキュリティ問題に対しては、IT担当者は昔ながらのアプローチを採るしかない。従来通り会議やメールの送信など、自社のエンドユーザーにとって最適だと考えられる方法なら何でも構わない。「エンドユーザーはセキュリティに関するメールを注意深く読む」と担当者が考えるなら、メールで十分だろう。それが難しければ、会議を開く方がよいかもしれない。

　どの方法を選ぶにしても、IT担当者とエンドユーザーのコミュニケーションを一度限りで終わらせずに継続させる。IT担当者は、マルウェアの最近の傾向や、ハッキングの手口に関する最新情報を絶えずエンドユーザーに伝える必要がある。

印刷する