Facebookの「友達」がセキュリティを脅かす

進化するソーシャルエンジニアリング攻撃、標的はSNSで物色される

脅威の進化によってソーシャルネットワーキングサービス（SNS）の監視方法がどのように変化しているか。本稿ではソーシャルエンジニアリング攻撃の脅威について解説する。

　人々は目標を実現するためにより簡単な方法を模索する。これは、攻撃者も同じだ。

　そこで注目されるのが、ソーシャルエンジニアリング攻撃（注）だ。これは人に対する攻撃であるため、技術的な対策は難しい。そして、その手口は画面ののぞき見や電話詐欺のようなものから、ソーシャルネットワーキングサービス（SNS）を攻撃の要素として利用するように変わってきている。

注：不正侵入のためのIDやパスワードを物理的、あるいは心理的な手段によって獲得する行為。

　本稿では、SNSを利用したソーシャルエンジニアリング攻撃と、それに対する企業の防衛策がどのように進化しているかを考える。

ソーシャルエンジニアリングの進化

　ソーシャルエンジニアリング攻撃に必要なスキルは、新しいゼロデイ攻撃を考えたり、技術対策をかいくぐったりする新たな方法を発見するのとは異なり、比較的容易に取得できる。ソーシャルエンジニアリングの標的になるのは常に、ルート権限（UNIX系OS）やアドミニストレーター権限（Windows系OS）など、システムへのアクセス権を持つ人物だった。

　現在のソーシャルエンジニアリングはフィッシング（詐欺サイト）の変種であり、スピアフィッシング（標的型メール攻撃）、ホエーリング（企業幹部を狙ったフィッシング）、スミッシング（携帯電話のSMSを使ったフィッシング）などと同じ基本技術を多数使用し、SNSにおいて、標的が要求された行動を取るよう誘導する。

　具体的に使用されるテクノロジーやメディアは、用いられるテクニックほど重要ではない。ソーシャルエンジニアリング攻撃は、本物に見える人物を信用してしまう錯覚を利用する。

　Dell SecureWorksは、同社が「Mia Ash（ミア・アッシュ）」と名付けたソーシャルエンジニアリング攻撃に関するブログ記事をWebに公開した。Mia Ashは、悪意のあるマクロが組み込まれた「Microsoft Word」文書を含む添付ファイルを、SNSを利用して標的に送信し、その添付ファイルを開かせる。Word文書を開かせてマクロが実行されたら、「Windows PowerShell」のコマンドを実行し、「PupyRAT」というマルウェアをダウンロードする。その結果、攻撃者はシステムを完全に乗っ取ることができる。ただし、そのためには標的となるユーザーがシステムへの管理者アクセス権を所有している必要がある。

　Mia Ashは、「Facebook」や「LinkedIn」に実在すると思われる人脈や写真を用いる。この攻撃は、従来のフィッシング攻撃によく似ており、信頼される電子メールに悪意のあるURLや添付ファイルを潜ませる。

SNSを悪用する攻撃に対する企業の防御策

この記事の著者

関連記事

• 

  “社長からのメール”は疑うべき？　「ビジネスメール詐欺」（BEC）の巧妙な手口

• 

  甘く見てはいけないWorkplace by FacebookとAmazon Chime、コラボツール市場は波乱の展開へ

新着ホワイトペーパー PR

• 事例
  [日本オラクル株式会社] ピンチをチャンスに変えたEPR製品は？　先行企業の導入事例3選
• 技術文書・技術解説
  [日本オラクル株式会社] 無自覚なリスク　秘伝Excelファイルが監査の壁、不正・ミスの温床となる理由
• 製品資料
  [日本オラクル株式会社] 戦略的経理の第一歩　失敗のない「脱Excel」を実現する秘訣とは？
• 技術文書・技術解説
  [日本オラクル株式会社] いまさら聞けないオンプレERPとクラウドERPの違い　最適な製品をどう見極める？
• 事例
  [株式会社ビザスク] 連結売上高が約2倍に成長、富士フイルムが実践した新規事業創出の戦略とは？