CEOフィッシング ― あなたの上司からのメールを信頼できますか？

CEOフィッシングの脅威からあなたとあなたの組織を保護するためのガイド

2023年11月14日
著者: Ahona Rudra
翻訳: 竹洞 陽一郎

この記事はPowerDMARCのブログ記事 CEO Phishing – Can you trust the email from your boss? の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

CEOフィッシングは増加しており、上司からのメールはすべて疑うことが重要です。
FBIの統計によると、CEOフィッシングは現在260億ドルの詐欺です。
この増加は、狡猾な詐欺師が信頼を悪用しているためです。
被害者には一般の人々も含まれ、正当に見えるメッセージに簡単に罠にはまってしまいます。

このサイバー脅威について、私たちの簡単な探求で安全を守る方法を見つけましょう。

CEOフィッシングの概要

サイバーセキュリティの世界では、CEOフィッシングが大きな懸念事項となっています。
この詐欺的な手法は、サイバー犯罪者がCEOやCFOなどの高位の企業幹部になりすまし、従業員を騙して機密情報を明かしたり、お金を振り込ませたりすることを含みます。

フィッシング業界は数十億ドルの価値があります。
CEOフィッシングは大きな利益をもたらします。

FBIによると、BEC（ビジネス・メール詐欺）詐欺は260億ドルであり、増加しています。
2018年から2019年にかけて、BEC詐欺（CEOフィッシングを含む）は倍増しました。
詐欺師はあらゆる規模のビジネスを標的にしています。
詐欺的な送金の上位国は、中国と香港です。

CEOフィッシングは世界中のビジネスに影響を与えています。
FBIの報告によると、米国や英国を含む177カ国で標的となっています。
詐欺師は約140カ国の銀行を利用しています。

CEOフィッシングは、従業員が上位の幹部からの要求に従う傾向があるため、信頼を悪用しています。
これにより、従業員を操作して資金の振り込み、財務データの共有、または機密情報へのアクセスを提供させることが主な目的です。

スピアフィッシングとCEOフィッシングの違いは何ですか？

スピアフィッシングは、ハッカーがターゲットに見える人物に信頼できるように見えるメールを送ることです。
CEOフィッシングは、彼らが会社のトップボス、例えばCEOやCFOのふりをすることです。

それでは、これら2種類のフィッシング攻撃の他の違いをいくつか見てみましょう。

CEOフィッシングの仕組み

狡猾なサイバースキームであるCEOフィッシングは、詐欺師がCEOなどの高位の幹部になりすますことから始まります。
彼らは、本物のように見える欺瞞的なメールやメッセージを作成し、しばしば似たメールアドレスを使用したり、幹部の書き方を真似たりします。

これらのメールには通常、電線送金や機密データ共有などの緊急行動が必要です。
彼らは信頼と階層構造を悪用し、従業員をこれらの偽命令に従わせます。

犠牲者が偽命令に従うと、詐欺師は金融資産を奪ったり、機密情報への不正アクセスを得たりします。
この詐欺的な戦術は根強く存在し続けているので、従業員のサイバーセキュリティ意識と警戒心を高めることの重要性を強調しています。

組織へのCEOフィッシングの影響

CEOフィッシングは、組織に深刻な影響を及ぼす可能性があります。
ここにいくつかの主要な影響を挙げます。

財務上の損失

最も大きな影響の一つは財務上の損失です。
詐欺師は従業員を騙して多額のお金を振り込ませることができ、これにより大きな財務的なダメージを引き起こす可能性があります。

評判の損失

CEOフィッシングの犠牲になると、組織の評判に害を及ぼす可能性があります。
クライアントやパートナーは、会社が機密情報を保護する能力を信用しないかもしれません。

法的な結果

組織が財務上のデータや機密データを保護することに失敗した場合、法的な結果に直面する可能性があります。
これには罰金や法的措置が含まれることがあります。

運用上の中断

CEOフィッシングの攻撃は、事件の調査、セキュリティ対策の実施、失われた資金やデータの回復など、組織の通常の運用を中断させる可能性があります。

従業員のストレス

CEOフィッシングにうっかり参加した従業員は、ストレスや罪悪感を感じることがあり、彼らの幸福感や生産性に影響を与える可能性があります。

データ侵害

場合によっては、CEOフィッシングがデータ侵害につながり、機密情報を危険にさらし、データ保護法に違反する可能性があります。

CEOフィッシング攻撃を見分ける：注意すべき主要な兆候

CEOフィッシング攻撃を認識するためには、警戒を怠らず、何かがおかしいことを示す特定の兆候に注意を払う必要があります。
以下は、注意すべき主要な兆候です。

普段と異なるメールアドレス

送信者のメールアドレスを慎重に確認してください。
通常と異なる、または標準的な形式に合致しない場合は注意が必要です。

緊急または高圧的な要求

すぐに行動を要求する、または熟考する時間なしに迅速に行動するよう圧力をかけるメールには警戒してください。

普段と異なる時間や連絡方法

奇妙な時間にメッセージを受け取ったり、予期しない通信手段を通じたりする場合は、警告信号かもしれません。

機密データの要求

CEOフィッシング攻撃者はしばしば、機密または個人情報を求めます。
そのような要求には常に疑問を持ってください。

文法やスペルの誤り

メールの中のタイプミス、文法の誤り、または不自然な言葉使いに注意してください。
これらは詐欺メッセージの一般的な兆候です。

普段と異なる金銭要求

送金、金融取引、または通常とは異なる金銭的な行動を要求するメールには注意してください。

行動を起こす前に確認する

信頼できる別の通信チャネルを通じて、想定される送信者に確認することが重要です。
これにより、要求の正当性を確認することができます。

CEOフィッシングの予防策

ドメインのセキュリティを強化するためのDMARC、SPF、およびDKIMの実装

DMARC（Domain-based Message Authentication, Reporting, and Conformance）、SPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）の実装は、メールセキュリティを強化するために不可欠です。
DMARCは、SPFとDKIMを組み合わせた包括的な方針であり、メールのなりすましや詐欺に対する総合的な防御を提供します。

SPFは、ドメインを代表してメールを送信するために承認されたメールサーバを特定します。
これは、不正なメールを拒否することでドメインのなりすましを防ぐのに役立ちます。

DKIMは、発信メールにデジタル署名を追加し、その真正性を保証します。
受信者は、メールの出所と完全性を確認するために署名を検証できます。
これら3つの技術が連携することで、フィッシングやCEOフィッシングに対する堅固な盾を作り出し、組織の評判や機密データを悪意のある者から守ります。

高度なメールフィルタリング：高度なメールフィルターで保護

CEOフィッシングの予防には、高度なメールフィルタリングソリューションが重要です。
これらのツールは、不審なメールが従業員の受信トレイに届く前にブロックまたはフラグを立てることができます。
潜在的に詐欺的なメッセージをフィルタリングすることで、組織のシステムに悪意のあるメールが浸透する可能性を減らし、CEOフィッシングのリスクを軽減します。

多要素認証：アクセスセキュリティの強化

多要素認証（MFA）は、セキュリティの追加層を提供します。
これにより、ユーザは機密システムへのアクセス前に複数の形式の識別情報を提供する必要があります。
MFAを実装することで、組織のアカウントのセキュリティを強化し、CEOフィッシングの一般的な経路である不正アクセスのリスクを軽減します。

厳格な財務プロトコル：資金のための財務的なセーフガード

資金の移動に複数の承認が必要となるような財務取引の明確な手順を含む、厳格な財務プロトコルの確立はCEOフィッシングの予防に不可欠です。
これらのプロトコルに従うことで、詐欺師による財務的な搾取の可能性を最小限に抑えることができます。

要求の検証

特に財務取引や機密データに関連する不通常な要求については、従業員に検証するよう奨励してください。
信頼できる別の通信チャネルを通じてそのような要求を確認することの重要性を強調してください。
要求の検証は、CEOフィッシングに対するセキュリティの層を追加します。

サイバーセキュリティポリシー：堅牢なサイバーガイドラインの確立

メールセキュリティ、データ保護、CEOフィッシングに対するセーフガードのためのベストプラクティスを含む包括的なサイバーセキュリティポリシーを開発してください。
明確に伝えられ、一貫して施行されるポリシーは、組織内で安全なデジタル環境を維持するための堅固な枠組みを提供します。

定期的なセキュリティ監査：監査による警戒の維持

CEOフィッシングの予防には定期的なセキュリティ監査が不可欠です。
これらの監査により、脆弱性を検出し、既存の防御策を評価し、必要な改善を行うことができます。
定期的に組織のセキュリティ対策を見直すことで、進化する脅威に対して効果的な保護を維持できます。

インシデント対応計画：迅速な対応の準備

よく定義されたインシデント対応計画を持つことは重要です。
これにより、組織はCEOフィッシング事件に迅速かつ効果的に対応できます。
構造化されたプログラムは、潜在的な被害を最小限に抑え、回復を支援し、より調整され効率的な対応を保証します。

コミュニケーションプロトコル：要求の処理のための明確なガイドライン

機密情報や財務要求を処理するための明確なコミュニケーションプロトコルを確立してください。
これらのガイドラインは、そのような要求を受けたときに従うべき手順やステップを概説する必要があります。
これらのプロトコルを従業員に伝達することで、要求の誤処理のリスクを最小限に抑え、セキュリティを強化します。

最後に

結論として、CEOフィッシングやフィッシング攻撃は増加しており、大きな脅威となっています。
しかし、適切な知識と予防策を持っていれば、自分自身や組織を守ることができます。
情報に基づいて行動し、予防措置を講じることで、デジタル環境を自信を持ってナビゲートし、CEOフィッシングに関連するリスクを最小限に抑え、より安全な未来を確保することができます。