フィッシングリンクをクリックした時に、すぐすべき事とは

フィッシングリンクをクリックした時に、すぐすべき事とは

クリック後の最初の一手

2024年7月9日
著者: Ahona Rudra
翻訳: 岩瀨　彩江

この記事はPowerDMARCのブログ記事 Clicked a Phishing Link? Here’s What To Do Now の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

重要なポイント

  1. フィッシング攻撃は大幅に増加しており、その一般的な兆候を認識することが重要です。
  2. 緊急性を強調する連絡や機密情報の要求は、フィッシング攻撃の強い兆候です。
  3. あまりにも好条件に思えるオファーの正当性は、詐欺に引っかからないためにも必ず確認してください。
  4. フィッシングリンクをクリックした疑いがある場合は、さらなる被害を防ぐために直ちにインターネット接続を切断してください。
  5. 定期的にパスワードを変更し、重要なデータをバックアップすることで、潜在的なフィッシング攻撃の影響を軽減できます。

フィッシングリンク、またはURLフィッシングは、一般的なソーシャルエンジニアリング攻撃の一種です。
Interisle Consulting Groupの専門家による調査によると、2022年にはフィッシング攻撃の件数が61％増加し、世界中で100万件を超える事例が発生しました。
攻撃者はその手口を高度化させており、警告サインを見抜くことがより困難になっています。

そのため、フィッシングリンクをクリックしてしまった場合に役立つガイドを用意しました。
最後まで読むことで、このようなミスにどのように対処し、影響を最小限に抑えるかを理解できます。
しかしその前に、フィッシングとは何か、そしてどのように機能するのかを簡単に見ていきましょう。

フィッシングリンクとは何で、どのように機能するのでしょうか？

URLフィッシングはソーシャルエンジニアリング攻撃の一種であり、ハッカーが被害者の財務情報、ログイン認証情報、業務文書、医療記録、社会保障番号などの機密データを悪意ある目的で盗み取るものです。
これは、信頼できる企業などの正規の送信元から送られたように見える不正なメールやメッセージを送信し、受信者にそのような情報を共有させることで行われます。
攻撃者は、信用のある組織のメールドメインを悪用してメールを送信し、被害者を誘導して要求された情報を提供させます。

企業は、SPF、DKIM、DMARCといったメール認証プロトコルに投資することで、メールドメインおよび自社の信頼性を保護することができます。
SPFは、信頼されたIPアドレスのみが自社ドメインを使用してメールを送信できるようにし、DKIMは署名方式を用いて送信者の真正性を検証します。
ユーザは、エラーのない有効なSPFレコードを確保するために、無料のSPFレコードチェッカーツールを使用することを推奨します。

一方で、DMARCポリシーは、自社ドメインから送信された不正なメールを受信側のメールサーバがどのように処理すべきかを指定します。
これは、「none（何もしない）」「reject（拒否）」「quarantine（隔離）」の3つのポリシーのいずれかを使用して実行されます。

フィッシングリンクをクリックしてしまった場合はどうすればよいでしょうか？

誤ってフィッシングリンクをクリックしてしまった場合、被害を最小限に抑えるために何ができるかを知っておくことが重要です。
漏えいした可能性のある情報を保護し、攻撃から回復することを最優先にすべきです。
以下は、フィッシングリンクをクリックした後に取るべき手順です。

1.デバイスをインターネットから切断する
インターネットから切断することで、さらなる被害を防ぎ、同じネットワーク上の他のデバイスへのマルウェア拡散を抑えることができます。
また、攻撃者があなたのデバイスやアカウントからデータを転送するのを阻止することもできます。

スマートフォンが標的にされている場合は、機内モードを有効にしてください。
Windows 10でイーサネット接続を無効にするには、Wi-Fiネットワークパネルに移動し、切断したいネットワークを選択します。
2.銀行に連絡する
銀行に連絡し、次の指示があるまで全ての取引を一時停止するよう依頼してください。
これにより、あなたの名義での金融詐欺を防ぐことができます。
3.重要なファイルをバックアップする
重要なファイルは、外付けハードドライブ、USBメモリ、またはクラウドストレージにバックアップしておくべきです。
「3-2-1バックアップ戦略」に従うとよいでしょう。
これは、データのコピーを少なくとも3つ作成し、2つは異なる媒体でローカルに保存し、1つはオフサイト（別の場所）に保管するという方法です。

ファイルをバックアップしておくことで、ランサムウェア攻撃の被害に遭う可能性も防ぐことができます。
ランサムウェア攻撃では、ハッカーがデータを盗み暗号化し、復号キーと引き換えに高額な身代金を要求します。
ランサムウェア攻撃からの復旧方法については、こちらを参照してください。
4.ユーザ名とパスワードを変更する
フィッシングリンクによって偽のWebサイトに誘導され、そこでログイン認証情報を入力してしまった場合は、直ちにそれらを変更する必要があります。
また、パスワードマネージャを使用することで、複数のデバイスでのパスワード変更を簡単に行うことができます。
さらに、より強力なパスワードを作成するのにも役立ちます。
5.システムをマルウェアスキャンする
インターネットから切断した後、ウイルス対策ソフトを実行して、不審なファイルを削除または隔離してください。
ウイルス対策ソフトを持っていない場合は、インターネットに接続してダウンロードする必要はありません。
感染していない別のデバイスでダウンロードし、USBメモリを使って転送することができます。

これらのプログラムの操作方法がわからない場合は、専門家にデバイスを見てもらってください。
また、無料ツールには近づかないようにしましょう。
それ自体がマルウェアに感染した「おとり」である場合があります。

フィッシングリンクをクリックしたかどうかを見分ける方法

誤ってフィッシングリンクをクリックしてしまった場合、次のような警告サイン（赤信号）を一つ以上で確認できることがあります。

緊急性をあおる口調
「できるだけ早く」「10分以内に」「法的措置を取ります」「直ちに対応してください」などの言葉が含まれたメールやメッセージは、フィッシングリンクである強い警告サインです。
ハッカーは、受信者にメッセージの内容をよく確認させず、即座に行動させるよう仕向けます。
機密情報の共有を求める不自然な要求
ワンタイムパスワード（OTP）、パスワード、社会保障番号、財務情報などの機密情報を共有するよう求めるメッセージを受け取った場合、それはフィッシングリンクの可能性があります。
また、ログインページに誘導するリンクにも注意してください。
不自然な高額オファー
「信じられないほどお得」なオファーには決して引っかからないでください。
例えば、参加していない宝くじの当選通知、全額負担の海外旅行、大幅な割引などは、フィッシングリンクをクリックさせるための単なる“おとり”です。
見知らぬ送信者や予期しないメール
不明または怪しい送信者からのメールには返信しないでください。
また、自分が注文していない商品の領収書や配送更新情報を送ってくる送信者はブロックしましょう。
誤った情報
メールの内容や、フィッシングリンクにアクセスした際に誤った情報が含まれている場合は、不正行為の兆候です。
これには、リンク先が表示されているWebサイトと異なる場合も含まれます。

リンクやハイパーリンクされたアイコンにカーソルを合わせるだけで（クリックせずに）、画面左下に実際のURLが表示されます。
リンクが安全であると確信できる場合のみ進んでください。
不審な添付ファイル
受信ボックスへの「贈り物」のように見える添付ファイルには注意が必要です。
要求していないファイル、意味不明なファイル名、珍しいファイル形式のものには特に注意してください。
文法の誤りや素人っぽいグラフィック
スペルや文法、そして不自然なデザインに注意してください。
ハッカーは専門のライターやデザイナーを雇わないため、フィッシングメールにはこうしたミスがよく見られます。
誤った、またはぼやけたロゴ、乱れた書式、不明瞭な表現などを常に確認するようにしましょう。

将来のフィッシング攻撃を防ぐ方法

フィッシング攻撃は、人々をだまして機密情報を漏らさせたり、悪意のあるリンクをクリックさせたりすることに大きく依存しています。
最も重要な対策の一つは、フィッシング詐欺の兆候を見抜く力を身につけることです。
正規のものに似ているがタイプミスや余分な文字が含まれているメールアドレス、受信者に素早く行動させようとする緊急または脅迫的な言葉遣い、不自然なリンクや添付ファイルなど、微妙な手がかりに注意してください。

リンクをクリックする前に必ずカーソルを合わせて、実際のWebアドレスが送信者の主張と一致しているかを確認しましょう。
「お客様各位」といった一般的な呼びかけを使うメールや、ブランド、ロゴ、書式に不一致があるメールも、詐欺のサインである可能性があります。
フィッシングに対抗するもう一つの強力な方法は、継続的なトレーニングを通じてサイバーセキュリティの衛生習慣を実践することです。

多くの組織では、従業員や個人向けに、疑わしいメッセージの見分け方や報告方法を教える無料または低コストのサイバーセキュリティ意識向上プログラムを提供しています。
定期的なトレーニングを受けることで、フィッシングを見抜くスキルを維持し、最新の詐欺手口についての知識を更新し続けることができます。
有名なリソースには、米国連邦取引委員会（FTC）のオンライン安全ガイド、Courseraなどのプラットフォームで提供されるサイバーセキュリティ講座、National Cybersecurity Alliance（国家サイバーセキュリティ同盟）によるトレーニングモジュールなどがあります。

最後に、テクノロジーも強力な安全網として機能します。
既知のフィッシングサイトをブロックするブラウザ拡張機能や専用のセキュリティソフトを導入すれば、悪意あるコンテンツへの露出を大幅に減らすことができます。
強力なスパムフィルタ、多要素認証、そしてソフトウェアを常に最新の状態に保つことを組み合わせることで、複数の防御層が形成され、フィッシング攻撃の成功を大幅に困難にします。

結論

フィッシングの脅威は常に進化しており、メール、テキストメッセージ、ソーシャルメディア、さらにはカレンダー招待など、あらゆる経路を通じて発生する可能性があります。
被害を最小限に抑える鍵は、フィッシングメールを発見したその瞬間に迅速に行動することです。
すぐに報告し、影響を受けたデバイスを切断し、漏えいした認証情報を即座に変更してください。

アカウントやシステムの継続的な監視を行うことで、侵害が深刻化する前に検出することができます。
警戒を怠らないことは一度きりの作業ではなく、サイバー犯罪者に対する防御力を強化するための継続的な習慣です。

組織のメールチャネルをさらに保護し、フィッシング攻撃が受信箱に届く前に防ぐためには、PowerDMARCのような強力な認証ソリューションの導入を検討してください。
これは、メールベースの脅威に対抗するための積極的な防御盾となります。

よくある質問

フィッシングリンクをクリックするとスマートフォンが感染することはありますか？
はい。リンクが悪意のあるWebサイトに誘導したり、有害なファイルをダウンロードさせたりする場合、スマートフォンがマルウェア、スパイウェア、またはランサムウェアに感染する可能性があります。
場合によっては、そのサイトを閲覧しただけで、ブラウザやオペレーティングシステムの脆弱性を悪用されることもあります。
その結果、データの盗難、不正なアカウントアクセス、さらには攻撃者によるデバイスの完全な制御を許してしまうこともあります。
フィッシングリンクをクリックしてしまった場合、スマートフォンをリセットすべきですか？
リンクをクリックしたことでスマートフォンが侵害された疑いがある場合、工場出荷時設定へのリセットは有効な対策の一つですが、重要なデータをバックアップし、そのバックアップが安全であることを確認してから行う必要があります。
その前に、信頼できるモバイル用ウイルス対策スキャンを実行し、安全なデバイスからすべてのパスワードを変更し、多要素認証を有効にしてください。
問題が解決しない場合、または機密情報を扱っている場合は、リセットを行うのが最も安全な方法です。