MailData

2025年におけるホエーリングとサイバーセキュリティに関する意識の向上

2025年におけるホエーリングとサイバーセキュリティに関する意識の向上

意識で守る、企業の安全

2024年4月2日
著者: Ahona Rudra
翻訳: 逆井 晶子

この記事はPowerDMARCのブログ記事 Whaling Cyber Awareness in 2025 の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

ホエーリング（spear phishing）は、重要な対象者（HVT）を狙い、悪意のあるリンクをクリックさせたり、悪意のあるファイルを開かせたりすることで、その人物のコンピュータや機密データにアクセスするサイバー犯罪です。

ホエーリング攻撃に対するセキュリティ対策をご存じですか？

一般的には聞き慣れない言葉でしょう。
サイバーセキュリティ業界やハッカー以外の人々にはほとんど知られていません。
しかし、ここでサイバーセキュリティにおけるホエーリングについて詳しく説明します！

サイバーセキュリティにおけるホエーリングとは？

ホエーリングとは、高位の役職者を標的としたフィッシング攻撃の一種で、企業の情報（パスワードや口座番号など）を騙し取ることを目的としています。
この攻撃は、データ侵害やランサムウェア攻撃などの大規模なサイバー攻撃の一部として行われることが多いですが、単独で行われる場合もあります。

ホエーリング攻撃は、以下の目的で行われます。

ホエーリング攻撃に備えるサイバーセキュリティ意識とは？

「ホエーリング」は、高位の役職者や、機密情報を扱う個人を標的とするフィッシング攻撃の一種です。
これらの攻撃は、通常、多数の個人に一般的なメッセージを送信する従来のフィッシング詐欺よりも、より洗練されており、検出が困難です。

「ホエーリング攻撃」とは、CEO、CFO、その他の上級幹部など、知名度の高いのターゲットを対象としたスピアフィッシング攻撃を指す用語です。
攻撃者は、多くの場合、ターゲットを調査します。
組織の幹部や信頼できるビジネスパートナーから送信されたように見えるメッセージを作成し、だまして機密情報を開示させたり、金銭を振り込ませたりしようとします。

「サイバーセキュリティに関する意識」とは、さまざまな種類のサイバー脅威とその対策について理解と知識を持つことです。
これには、インターネットやその他のデジタル技術の使用に関連するリスクの理解と、潜在的なサイバー攻撃を特定して対処する方法の知識が含まれます。

ホエーリングの文脈では、サイバーセキュリティに関する意識には、このタイプの攻撃で使用される特定の戦術と方法の理解、および組織内の上級幹部からのように見える疑わしいメッセージを認識して対応する方法が含まれます。

したがって、ホエーリング攻撃に対するサイバーセキュリティに関する意識とは、この特定のタイプの脅威を認識し、それを特定して防ぐ方法を意味します。

ホエーリング攻撃に備える意識向上プログラムとは？

ホエーリング攻撃に対するサイバーセキュリティ意識向上プログラムは、テクノロジー、教育、および実践的な経験を組み合わせたユニークなプログラムです。
米国国務省外交保安局と米国コンピュータ学会（ACS）が、国務省テロ対策支援プログラム（ATA）の資金提供を受けて開発しました。

ホエーリング攻撃に対するサイバーセキュリティ意識向上プログラムは、参加者にサイバー犯罪、オンラインでの身の守り方、悪意ある活動の標的にされたときの見分け方を教えることを目的として設計されています。

ホエーリング攻撃に対するサイバーセキュリティ意識向上プログラムの4つのモジュール

このプログラムは4つのモジュールで構成されています。

1. 標的型攻撃
このモジュールでは、学生はホエーリング攻撃で使用される攻撃の種類、攻撃者の種類、および彼らが使用するソーシャルエンジニアリング攻撃の種類について学びます。
また、ホエーリング攻撃の最も一般的な標的である企業、政府機関、個人についても学びます。
2. 防御
このモジュールでは、学生はホエーリング攻撃の一般的な兆候を認識する方法と、ソーシャルエンジニアリングの手法を使用して、誰かが自分や組織になりすますことを試みた場合の対応方法を学びます。
また、ホエーリング攻撃が成功する可能性を高めるよくある間違いや、個人情報の盗難から身を守るためのヒントについても学びます。
3. 調査
このモジュールでは、法執行機関がこれらの犯罪に関与する犯罪者に対して適切な措置を講じることができるように、試みられたホエーリング攻撃を調査します。
また、サイバーセキュリティ調査に関する法的問題と、ここれらの調査が世界中の法執行機関によってどのように実施されているかについても学びます。
4. 法的課題
発生はしていませんが、特定の条件が満たされていれば発生していた可能性のある攻撃の調査です。
その目的は、そのような攻撃から生じる可能性のあるいくつかの法的問題と、法執行機関やその他の政府機関がそれらに対処する方法を検討することです。

ホエーリング攻撃から守る方法

企業がホエーリング攻撃から身を守るための方法はいくつかあります。

従業員教育とトレーニング
従業員がホエーリング攻撃のリスクと、それを認識し回避する方法を確実に理解することは、これらの攻撃を防止する効果的な方法です。
2要素認証
電話やメールに送信されるワンタイムコードなど、追加の認証形式を要求することで、アカウントへの不正アクセスを防ぐことができます。
強力なパスワード
すべてのアカウントに強力でユニークなパスワードを使用することで、攻撃者によるアクセスがより困難になります。
メールフィルタリング
不審なメールをブロックしたり、レビュー用にフラグを設定したりすることで、従業員がフィッシング攻撃の被害に遭うのを防ぐことができます。
セキュリティソフトウェアの使用
アンチウイルスやファイアウォール保護などのセキュリティソフトウェアを使用することで、マルウェア感染やその他のセキュリティ侵害を防ぐことができます。
定期的なソフトウェア更新
すべてのソフトウェアを最新のパッチおよびセキュリティ更新プログラムで最新の状態に保つことは、脆弱性が悪用されるのを防ぐのに役立ちます。
強力なネットワークセキュリティ
ネットワークセグメンテーションやアクセス制御などの強力なネットワークセキュリティ対策を導入することで、企業ネットワークへの不正アクセスを防ぐことができます。
インシデント対応計画
セキュリティインシデントに対応するための計画を立てることは、ホエーリング攻撃の影響を最小限に抑え、より迅速な回復を可能にするのに役立ちます。

DMARCをあなたのホエーリング攻撃に対するサイバーセキュリティ意識向上計画の一部として取り入れましょう

DMARCを設定することで、DMARCポリシーに準拠しないドメインからのメッセージの配信を制限することができます。
これは、詐欺師があなたのブランドを偽装して金銭や機密データを盗もうとするフィッシング詐欺から組織を保護することに役立ちます。

DMARCにはいくつかの利点があります。

最後に

このガイドから、ホエーリング攻撃に対するサイバーセキュリティ意識の向上とは何かについて何かを学び、サイバーセキュリティ市場の概要を理解することに役立ったことを願っています。
もちろん、ビジネスの観点からサイバーセキュリティにアプローチする場合、他にも多くの側面に焦点を当てることができます。
しかし、ここでは、サイバーセキュリティ計画の基本を解説しました。

詳細については、PowerDMARCの専門家にお問い合わせいただき、ホエーリング攻撃に対するサイバーセキュリティ意識や一般的なメールセキュリティ、認証対策についてさらに詳しく学びましょう！