メールベースの攻撃とは何か?そしてそれを防ぐ方法

攻撃の手法を理解する

2024年2月24日
著者: Ahona Rudra
翻訳: 竹洞 陽一郎

この記事はPowerDMARCのブログ記事 What Are Email-based Attacks and How To Prevent Them? の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

メールベースの攻撃は、データ侵害、財務損失、法的責任、評判の損傷、業務の中断など、重大な影響を引き起こす可能性があります。
機密情報を保護し、顧客や利害関係者との信頼を維持し、ビジネスの長期的な安定と成功を確保するためには、積極的に強固なメールセキュリティ対策を実施することが重要です。

メールベースの攻撃とは何か：脅威の状況を理解する

メールは簡便なコミュニケーション手段であるため、サイバー攻撃の主要な標的となっています。
これにより、悪意のある攻撃者にとって脆弱なポイントとなり、メールベースの攻撃は増加し、複雑化し、深刻さを増しており、検出や防止がますます困難になっています。

メールベースの攻撃とは、メールアカウントを通じてシステムや情報に不正アクセスしようとする悪意のある試みです。
以下は、代表的な攻撃の種類です。

フィッシング攻撃

メールやテキストメッセージ、その他の通信手段を使用する人は誰でもフィッシングの被害者になる可能性があります。
フィッシング攻撃は増加傾向にあり、2022年第3四半期には、世界中でフィッシング攻撃の23%が金融機関をターゲットにしていました。
また、WebメールおよびWebベースのソフトウェアサービスが攻撃の17%を占め、これらが最も狙われやすい業界となっています。
この攻撃は、ユーザに偽のリンクや添付ファイルを送信し、パスワードやクレジットカード番号などの機密情報を提供させることを目的としています。

スピアフィッシング攻撃

スピアフィッシングは、個別にカスタマイズされたメッセージを送り、それが正当なものであるかのように見せかけてマルウェアを含ませたり、受信者に機密情報を漏洩させる攻撃です。
これらのメッセージは、ターゲットが知っている誰か（同僚など）を装い、攻撃がより信頼できるように見せかけることが多いです。

ビジネスメール詐欺（BEC）攻撃

この攻撃では、従業員をだまして攻撃者の口座に送金させたり、機密情報を送らせたりします。
攻撃者は、会社の内部の人物を装い、送金や機密情報の提供を求めるメールを送ることがあります。
また、攻撃者は、銀行口座番号やクレジットカード番号に問題があったと主張し、再送金を求めることもあります。

メールスプーフィング攻撃

この攻撃では、送信者の本当の身元を隠し、他の人物から送信されているように見せかける手法が使われます。
たとえば、攻撃者が「会社XのCEO」を名乗って、従業員全員の給与情報を要求するメールを送る場合がありますが、実際にはCEOや会社Xの他の人物がそのような行為を行うことは通常ありません。

マルウェアやランサムウェアのメールによる配布

サイバー犯罪者はしばしばメールアカウントを乗っ取り、マルウェアを配布します。
2023年には、ビジネスメール詐欺攻撃が大幅に増加するとの予測があり、ランサムウェアやクラウド管理インターフェースへの攻撃も続くと見られています。
この攻撃は、メール内のリンクや添付ファイルのクリックによって悪意のあるコンテンツがダウンロードされる形で行われることがあります。
場合によっては、ファイルをロックして解除のための支払いを要求するランサムウェアが含まれていることもあり、支払わなければデータを回復することがほぼ不可能になることもあります。

マンインザミドル（MITM）攻撃

MITM攻撃では、攻撃者が二者間の通信を傍受し、データを中継することで、双方が気づかないうちに通信内容を盗み見ます。
これにより、ログイン情報や企業秘密など、機密データを盗むことが可能になります。
また、攻撃者が他人の身元を装い、その名前でメッセージを送信することもできます。

メールアカウントのハイジャックや乗っ取り攻撃

この攻撃では、攻撃者がパスワードを推測するか、他の手段を用いてメールアカウントにアクセスしようとします。
攻撃者はその後、スパムメールの送信や他の人への嫌がらせ、さらには情報の窃取などを行う目的でアカウントを使用します。

フィッシングやソーシャルエンジニアリングによる資格情報の収集攻撃

攻撃者は、他人になりすましてユーザ名やパスワードを要求し、あなたを騙してログイン情報を提供させることがあります。
また、マルウェアが含まれた添付ファイルをダウンロードさせ、開くことでログイン情報を盗み取る手法も使われます。

メールベースの攻撃からの保護：効果的な防止策

組織の規模に関わらず、メールセキュリティは不可欠です。
機密データがメールで送信されることが多いため、悪意のある攻撃やその他の脅威から会社をしっかりと守ることが重要です。
以下は、会社を安全に保つために取るべきメールセキュリティのヒントです。

1. DMARC、SPF、DKIM：基本的なメールセキュリティ対策

DMARCは、送信者がメッセージの受信方法に関するポリシーを設定できるセキュリティ標準です。
送信者は、メッセージのヘッダーにポリシーを含めて、そのドメインからのメールをどのように扱うかを指示できます。
例えば、SPFレコードやDKIM署名が含まれたメールは、正当なものでありスパムではない可能性が高いです。
DMARCを使用することで、正当なメールだけが自社のドメイン名で配信されるようにポリシーを設定し、悪意のあるメールは受信トレイに到達する前にブロックすることができます。
これにより、フィッシング詐欺やネットワークへのその他の悪意ある攻撃を防止できます。

2. メールフィルタリングとスパム対策

メールフィルタとスパム対策を設定して、不要なメッセージが従業員の受信トレイに届く前にブロックします。
これにより、悪意のあるメールが従業員のデバイスに到達し、開かれたりクリックされたりするのを防げます。

3. 従業員向けのメールセキュリティ教育

従業員に潜在的な脆弱性とその回避方法を教育します。
これには、強力なパスワードの使用、デバイスを最新のアンチウイルスソフトウェアで保護すること、疑わしい活動を監視することが含まれます。
従業員の報奨制度を利用して、これらの実践を奨励することも有効です。

4. メールアカウントの多要素認証（MFA）

多要素認証は、オンラインアカウントにアクセスする前に複数の認証方法を必要とするセキュリティオプションです。
この認証方式は、テキストメッセージや認証アプリによって生成されたコードなど、2つ目の要素でユーザの身元を確認するため、パスワードが漏洩した場合でもアクセスを防ぐことができます。

5. 機密データのメール暗号化

メールメッセージに機密情報が保存されている場合、不正アクセスを防ぐために暗号化を使用することを検討してください。
暗号化はデータをスクランブルし、適切な復号鍵を持つ認可された人だけがそれを読むことができるようにします。

6. 強力なパスワードポリシーと管理

強力なパスワードの定期的な使用と更新を徹底するパスワードポリシーを施行するべきです。
また、従業員には、Webサイトのパスワード入力時に不注意なミスをしないように訓練する必要があります。

メールコミュニケーションのセキュリティ強化：サイバー脅威からビジネスを守る

今日のデジタル環境では、メールベースの攻撃からの保護が極めて重要です。
メールベースの攻撃は、データ侵害、財務損失、評判の損傷、業務の中断など、重大なリスクをもたらします。

DMARC、SPF、DKIM、メールフィルタリング、従業員教育、多要素認証、暗号化、強力なパスワードポリシーといった効果的なメールセキュリティ対策を実施することは、これらの脅威を軽減するために重要です。
常に警戒し、最新情報を保ち、メールセキュリティをサイバーセキュリティ戦略の基本的な要素として優先してください。