• メールアドレスさえ分かればサイバー攻撃を仕掛けることができる「手軽さ」
• メールを送るだけでサイバー攻撃が成立してしまう「効率の良さ」
• 技術的スキルを持たなくてもメールを送るだけで攻撃できる「ハードルの低さ」

メールを狙う攻撃はどれほど「簡単」なのか

　攻撃者が実際に標的型攻撃を仕掛ける手口を例に挙げ、本当に「手軽で、効率が良く、ハードルが低い」のかどうか考察します。どれだけ「簡単」なのかを具体的に知ることで、対策の甘さが招く危険度や取るべき防御策が見えてくるはずです。

　本稿で説明する手口はあくまでも一例であり、実際の攻撃手法は多岐にわたります。攻撃者の手口を明かすことで、サイバー攻撃の実態をリアルに理解してもらうことが目的であり、攻撃を助長するものではありません。サイバー攻撃の技術的な手法を身につけることは、高いモラルと精神性が必要となることを忘れてはいけません。

　まず攻撃者は複数のマルウェア対策ソフトウェアを用意し、パターンファイルを最新の状態に更新します。その上で、遠隔操作が実行可能となるマルウェアを作成し、複数のマルウェア対策ソフトウェアに順次投げ入れ、ソフトが検知しないことを確認します。確認が取れたら、そのマルウェアのアイコンを（PDFファイルなどありふれたものに）偽装し、ファイル名称も相手が思わず開封してしまいそうなもの（人事部門宛なら「履歴書」など）に偽装して、標的となるターゲットにメールで送り付けます。後は、相手がメールを開封するのを待つだけです。

　相手がメールを開いて添付ファイルをダブルクリックしてくれれば、攻撃者が用意したC＆Cサーバに自動で接続してくるのです。これで相手側のPCを乗っ取ることができ、自由に遠隔操作できるようになるのですから、攻撃者が効率的な手法だと考えるのも当然でしょう。

　一度乗っ取られてしまったPCは、電源を立ち上げるたびに攻撃者が用意したC&Cサーバに勝手に接続します。Windowsの電源を立ち上げた時に起動するプログラム「スタートアップ」の一つとして登録されてしまい、以降電源を立ち上げるたびに攻撃者が遠隔操作できる状態になってしまいます。

攻撃者がメールアドレスを奪取する方法

　攻撃者がメールアドレスを入手する経路は、多岐にわたります。メールアドレス入手の代表的な方法には以下のような手法があります。

• 巡回プログラムを使ってインターネットに公開されている会社の代表メールアドレスを入手、保存する方法（クローリング）。
• 無料で利用できるクラウドサービスの脆弱性が突かれて漏えいしたメールアドレスやパスワードを利用する方法。いわゆるアンダーグラウンドサイトで流出情報が売買されており、情報が新鮮なものは比較的高額で取引されている。
• 会社のドメイン名の「＠」（アットマーク）の左側に、ランダムによくある名字を付けて取りあえず送る方法。例えば日本人に多い名字である「佐藤（satou）」を付けてメールを送る。
• 会社のドメイン管理者が登録されているWebサイト「WHOIS」で検索してメールアドレスを入手する方法。登録されているドメイン管理者は、組織の代表者や総務・情報システム部門の最高責任者であるケースが少なくないため、攻撃者としては効率的に狙いたいターゲットのメールアドレスを入手できる。
• 電話などで直接メールアドレスを問い合わせる方法。人の行動心理の裏を突き、情報を盗み出す「ソーシャルエンジニアリング」のテクニックを利用したもの。関係者になりすまして、電話越しの相手にメールを送付したい旨を伝えてメール情報を聞き出す。攻撃者にとっては手間がかかるが、質の高いメールアドレスが入手できるため、標的型攻撃やビジネスメール詐欺、サプライチェーン攻撃などで応用される可能性があり、特に注意が必要。

　繰り返しになりますが、本稿で攻撃者の手法を紹介する意図は、攻撃を助長するものではありません。サイバー攻撃を「身近にある危機」だと理解していただき、具体的な対策につなげていただくことが目的です。

　後編では、メールを狙うサイバー攻撃への対抗策について、具体的に解説します。

著者紹介

那須慎二（なす・しんじ）　CISO代表取締役

大手情報機器メーカーにてインフラ系SE、大手経営コンサルティングファームにて経営コンサルティング、サイバーセキュリティコンサルティングを経て、現在、サイバーセキュリティ対策の専門会社CISO（Chief Information Security Officer）代表取締役。

日本の中小企業がサイバー被害で大きなダメージを受ける状況を看過することができず「日本にセキュリティのバリアを張る」をモットーに、中小企業向け情報セキュリティのマルチベンダー対応、ならびにコンサルティング活動を実施。難易度の高いサイバーセキュリティ技術を誰にでも分かりやすく伝えることに定評がある。

参考リンク

「小さな会社のIT担当者のためのセキュリティの常識」（Amazon.co.jp）