2019年のメールセキュリティ侵害　5大要因の概要と対策【前編】

“最大の敵”は社員？　「標的型フィッシング攻撃」対策が難しい理由

前後編にわたり、メールセキュリティに関する5つの主な問題を取り上げる。前編ではエンドユーザーの行動が引き起こすリスクと、攻撃の対象を絞った「標的型フィッシング攻撃」について説明する。

公開 2019年04月11日 05時03分

更新 2019年07月06日 19時26分

著者

Kevin Tolly

[TechTarget]

印刷する連載新着通知を受け取る

　メールセキュリティにおいては、全てのメールに注意を払わなければいけない。企業の大小を問わず、たった1通のメッセージが企業に大損害をもたらす恐れがある。

　メールセキュリティ製品のベンダーは、自社が提供する保護機能を改善しようと常に努力している。同時に攻撃者も、保護機能がどう進歩するかを予想し、それを打破する新たな方法を積極的に編み出している。

　メールセキュリティの担当者が抱えるこれらの課題について詳しく調査するため、IT調査会社Tolly Groupは複数のメールセキュリティベンダーに接触し、このトピックに対する各社の見解を求めた。その中には長い歴史を持つベンダーもあれば新規ベンダーもある。結果に関して、良い知らせと悪い知らせがある。良い知らせは各社のメールセキュリティ問題に関する意見がほぼ一致していること。悪い知らせは脅威からの保護がますます難しくなりそうなことだ。

　先手を打つには、以下に紹介するメールセキュリティの5つの主要な問題を調査し、必要に応じた対策を取る必要がある。

最大の課題となるエンドユーザーの行動
再流行する標的型フィッシング攻撃
被害の拡大を招くアカウント乗っ取り
抜け穴となるIoT（モノのインターネット）機器とモバイルデバイスのセキュリティ
境界セキュリティへの固執

　これらの概要と対策について詳しく見てみよう。

併せて読みたいお薦め記事

メールセキュリティの課題と対策

ビジネスメール詐欺（BEC）について知る

1．最大の課題となるエンドユーザーの行動

　エンドユーザーの行動がメールセキュリティに関する問題の最重要項目に挙がることを意外に思う人もいると考えられる。だが結局のところ、悪い状況に陥るのを防げるか、事故にしてしまうかはエンドユーザーの判断によって決まる可能性が高い。複数の専門家がこれを大きな問題として指摘している。

　人の心理的な隙を狙った攻撃手法「ソーシャルエンジニアリング」を使ったペネトレーション（侵入）テストを実施し、その結果から現状を評価するのは、エンドユーザーの行動にまつわる問題への対策になり得る。具体的にはセキュリティ担当者を雇い、従業員のセキュリティ意識を評価するためにフィッシング攻撃を仕掛ける。しかしフィッシングに注意するように警告された後でさえ、餌に食いつくエンドユーザーは少なくない。メールに関する意識トレーニングを受けているエンドユーザーもいるが、そうしたトレーニングだけで、フィッシングメール内のリンクをクリックさせないようにするのは難しい。

2．再流行する標的型フィッシング攻撃

　かつて猛威を振るった「標的型フィッシング攻撃」が復活している。質より量の自動攻撃が普及してきてはいるが、それとは対照的な標的型の手動攻撃の方が、より大きな見返りを得られることに攻撃者は気付き始めている。

　標的とする人や企業を調査するに当たって、攻撃者は公開されているソーシャルメディアのリソースを利用して企業の有力者を把握する。そうした知識があれば、幹部社員になりすまして従業員をだましたり、企業の重要人物を対象としたフィッシング攻撃「ホエーリング（捕鯨）攻撃」を仕掛けたりしやすくなる。ロゴなど企業に特有の情報を盛り込んで、悪意のあるメールをより本物らしいメールに偽装できる。

　攻撃者は他の通信手段を利用して標的型フィッシング攻撃を強化することもできる。セキュリティコンサルタントのデイビッド・ストーム氏は2019年1月に、この件に関してブログエントリを執筆した。そのエントリでは「攻撃者が管理職の携帯電話番号を手に入れてその番号を偽装し、メールに言及したテキストメッセージをその管理職の部下に送信することで攻撃を仕掛ける」というシナリオを取り上げている。

　後編では残る3つの課題であるアカウント乗っ取り、IoT機器やモバイルデバイスのセキュリティホールを狙った攻撃、インターネットと企業内LANの境界のセキュリティに潜む落とし穴について解説する。

印刷する