MailData

バレルフィッシングとは何か、そしてそれを防ぐ方法

バレルフィッシングとは何か、そしてそれを防ぐ方法

巧妙な罠を見破れ！バレル詐欺防衛術

2024年6月19日
著者: Ahona Rudra
翻訳: 岩瀨　彩江

この記事はPowerDMARCのブログ記事 What is Barrel Phishing and How to Prevent it? の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

本当に良すぎて信じられない、または無視できないほど緊急な内容のメールを受け取ったことはありませんか？
もしそうなら、あなたは「バレルフィッシング」と呼ばれる危険なサイバー攻撃の標的にされた可能性があります。
この攻撃は、近年ますます一般的になっています。

実際、アンチフィッシングワーキンググループの最近の報告によると、フィッシング攻撃は2022年だけで22％も増加しています。

特にバレルフィッシングは、特定の個人または少人数のグループを狙い、機密情報を入手したり、重要なシステムへのアクセスを得たりするための、非常に個別化された手法です。
しかし、今すぐに慌てる必要はありません。
適切な予防策を講じれば、あなた自身やあなたの組織をこの攻撃の被害から守ることができます。

重要なポイント

  1. バレルフィッシングは、説得力のあるメールを通じて、個人に機密情報を漏らさせたり、マルウェアをインストールさせたりすることを目的とした標的型攻撃です。
  2. 一般的なバレルフィッシング攻撃の種類には、CEO詐欺、ホエーリング（重役詐欺）、ベンダーメール詐欺、アカウント乗っ取り、スピアフィッシングなどがあります。
  3. 汎用的なフィッシングメールとは異なり、バレルフィッシングのメッセージは非常に個別化されており、標的に関する具体的な情報を利用して信頼性を高めることが多いです。
  4. 効果的な防止策としては、ユーザにリスクについて教育すること、多要素認証を導入すること、不正アクセスを検知するためにアカウントのアクティビティを監視することなどが挙げられます。
  5. フィッシング攻撃とバレルフィッシング攻撃の両方が、被害を受けた個人や企業にとって重大な金銭的損失、評判の失墜、法的な影響をもたらす可能性があります。

脅威の解明：バレルフィッシングの定義とその手口を理解する

バレルフィッシングとは、攻撃者が大量の人々にメールを送信し、その中の一部でも悪意のある添付ファイルやリンクをクリックすることを狙う攻撃です。
「バレル（樽）」という言葉は、多くのフィッシングメールをデジタルの海に投げ込み、そのうちいくつかが標的に当たることを期待するという発想から来ています。
この種の攻撃は、多くの場合、企業の従業員にメールを送る形で行われます。

メールは通常、経営陣の誰かから送られたように見せかけられ、緊急性や緊迫感を伴っていることが多いです。
件名は「至急：従業員の解雇」などのようなものになる場合があります。
この攻撃の目的は、受信者に添付ファイルを開かせたり、リンクをクリックさせたりして、コンピュータやスマートフォンにマルウェアをインストールさせることです。
これにより、攻撃者は被害者のシステムからログイン認証情報やその他の機密データを盗み出し、それを悪意のある目的で利用する可能性があります。

バレルフィッシング攻撃の種類：サイバー犯罪者が使う手口を知る

バレルフィッシング攻撃には、さまざまな形や規模のものがあります。
ここでは、最も一般的な5つのタイプを紹介します。

CEO詐欺
この攻撃では、サイバー犯罪者がCEOになりすまし、下位の従業員に対して送金や機密情報の提供を求めるメールを送ります。
従業員は、CEOのアカウントが侵害されたと信じ込まされ、会社を守るために迅速に行動しなければならないと思い込まされることがあります。
ホエーリング（重役詐欺）
ホエーリング攻撃は、機密データへのアクセス権を持つ上級管理職や幹部社員を標的にします。
この攻撃では、標的の名前や役職などの情報を利用して、メールを本物のように見せかけることがよくあります。
たとえば、「上司から会社の口座から送金するように依頼するメール」が届いた場合、あなたはその真偽を疑うでしょうか？
ベンダーメール詐欺
このタイプの攻撃はCEO詐欺に似ていますが、従業員ではなくベンダー（取引先）を標的にします。
サイバー犯罪者は実在のベンダーになりすまし、新しい支払い方法の一環として送金や機密データの提供を求めるメールを送ります。
アカウント乗っ取り

アカウント乗っ取りは、ユーザの認証情報を入手したり、既存のアカウントを乗っ取ったりするフィッシング攻撃です。
攻撃者は、パスワードを推測したり、マルウェアを使って盗み出したりすることでこれを行います。

アカウント乗っ取り攻撃は、金融データへのアクセスを目的として行われることが多いです。
ハッカーが銀行口座にアクセスできるようになると、資金を自分の管理下にある別の口座に送金することで、金銭を盗み出すことができます。

スピアフィッシング

スピアフィッシング攻撃は、特定の個人または組織を標的とし、ソーシャルエンジニアリングに大きく依存する手口です。
スピアフィッシングのメールは、銀行や政府機関などの正規の送信元を装い、被害者に悪意のあるリンクや添付ファイルをクリックさせたり、ログイン情報を入力させたりするように仕向けます。

関連記事：スピアフィッシングとフィッシングの違いとは？

バレルフィッシングの例

以下はバレルフィッシングメールの例です。

メール例 1

メール例 2

バレルフィッシングとフィッシング：違いと共通点を理解する

「バレルフィッシング」と「フィッシング」という言葉は、しばしば同じ意味で使われます。
しかし、これら2つのサイバー攻撃の間にはいくつかの違いがあります。

攻撃手法：バレルフィッシングとフィッシングの違い
両方の攻撃手法はソーシャルエンジニアリングに依存していますが、バレルフィッシングは非常に個別化され、特定の対象を狙うのに対し、フィッシング攻撃はより一般的で、より広範囲に仕掛けられる傾向があります。
フィッシング攻撃では、正規のWebサイトやメールを模倣した偽のサイトやメールを作成することが多いのに対し、バレルフィッシングのメールには、受信者やその組織に関する非常に具体的な情報が含まれていることがあります。
バレルフィッシングは、フィッシング攻撃よりも高度な手口であることが多く、複数の段階を踏んだり、組織内の特定の人物になりすましたりする場合もあります。
標的と範囲：バレルフィッシングとフィッシングの危険にさらされるのは誰か
どちらの攻撃も、規模や業種を問わず、個人または組織を標的にする可能性があります。
しかし、バレルフィッシング攻撃は、機密情報へのアクセス権を持つ上級管理職や従業員を狙うことが多いのに対し、フィッシング攻撃はより幅広い個人を標的にする傾向があります。
また、フィッシング攻撃は、サイバーセキュリティリスクに対する認識が低い消費者や一般個人を狙う傾向が強い場合もあります。
フィッシングとバレルフィッシングにおけるソーシャルエンジニアリングの役割

フィッシングとバレルフィッシングの両方は、ユーザをだまして機密情報を漏らさせたり、不正な行動を取らせたりするために、ソーシャルエンジニアリングの手法に大きく依存しています。
ソーシャルエンジニアリングには、次のような要素が含まれる場合があります。

  • 標的に緊急性や恐怖感を与える。
  • 好奇心や欲望を刺激する。
  • 信頼できる人物や組織になりすます。

フィッシングメールとバレルフィッシングメールはいずれも、緊急性を演出したり、既知の連絡先を装ったりといった類似の手口を用いることがあります。
しかし、バレルフィッシングのメールは、非常に個別化されているため、より本物らしく見える傾向があります。

防止策：フィッシングとバレルフィッシングから身を守る方法

これら両方の攻撃に対する防止策として、次のような方法が挙げられます。

  • 一般的なフィッシング手口やバレルフィッシングの手口についてユーザを教育すること。
  • 多要素認証を導入すること。
  • 不審なメッセージを検出・遮断するメールフィルタを使用すること。

さらに、バレルフィッシングに特化した追加の防止策としては、オンライン上で公開される個人情報の量を制限することや、不正アクセスの兆候を検知するためにアカウントのアクティビティを定期的に監視することが挙げられます。
最終的に、これら両方の攻撃に対して最も効果的な防止策は、予期しないメッセージや機密情報の要求を受け取った際に、常に警戒心を持ち慎重に対応することです。

フィッシングとバレルフィッシングが個人および企業に与える影響

これら両方の攻撃は、個人や企業に対して深刻な影響を及ぼす可能性があり、金銭的損失、評判の失墜、法的責任などが含まれます。
フィッシング攻撃によっては、個人情報の盗難や金融口座、個人データへの不正アクセスが発生する場合があります。
一方、バレルフィッシング攻撃では、企業の機密データや知的財産が盗まれる可能性があり、あらゆる規模の企業にとって甚大な影響をもたらすことがあります。

関連記事：フィッシングとスパムの違い

まとめ

バレルフィッシングは、非常に効果的なサイバー犯罪であり、その主な理由は「簡単かつ効果的」であることにあります。
犯罪者は逮捕や身体的危険を冒すことなく、遠隔地から標的を狙うことができるのです。
オンライン上で自分の情報を守る最善の方法は、情報を共有する際に慎重であることです。

YouTubeのコメント欄やソーシャルメディア、さらにはメールを通じても、パスワードや銀行情報を決して共有しないでください。
必ず銀行のWebサイトなど、正規の公式チャネルを通じてのみ行うようにしましょう。