強化されたフィッシング攻撃における口実詐欺の増加

ソーシャルエンジニアリング攻撃とフィッシング攻撃の組み合わせ手法

2025年1月19日
著者: Ahona Rudra
翻訳: 竹洞 陽一郎

この記事はPowerDMARCのブログ記事 The Rise of Pretexting Scams in Enhanced Phishing Attacks の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

フィッシングは、企業や個人が直面する主要なセキュリティ問題の一つです。
これまでの試みには、個人情報を収集する偽のWebサイトやメールが含まれていました。
これらの試みは依然として深刻で危険です。

しかし、口実詐欺などの新しい手法が、現在より一般的になっています。
ほとんどの人と同様に、皆さんも口実詐欺とは何か疑問に思うかもしれません。
これらのソーシャルエンジニアリング手法は、ハッカーが被害者を説得し、個人情報を共有させることで発生します。

他の一般的な手口とは異なり、これらの詐欺は標的型であり、被害者が脅威を認識することが非常に困難です。
この種の詐欺の件数は増加しており、サイバー攻撃者はソーシャルエンジニアリング攻撃を利用して人間の脆弱性を悪用し、手法を洗練させています。

重要なポイント

1. 口実詐欺は、詐欺師が説得力のある経歴やシナリオを作り出し、個人を操作して機密情報を共有させるソーシャルエンジニアリング攻撃です。
2. これらの詐欺は、技術の進歩、オンラインデータの入手可能性、およびリモートワークへの移行により増加しています。
3. 口実詐欺の一般的な例として、銀行職員、技術サポート担当者、政府関係者になりすます手口があります。
4. その結果、金銭的損失、評判の低下、精神的苦痛が生じ、組織にとってはデータ漏洩や信頼の喪失につながります。
5. 対策として、従業員の研修、高度なメールセキュリティツール、多要素認証（MFA）の導入が有効です。

口実詐欺とは何か？

口実詐欺とは、攻撃者が欺瞞的なメッセージを送り、個人を操作して機密データを開示させる詐欺のことです。
他の詐欺とは異なり、人間の心理を標的にします。

攻撃者は銀行職員などの信頼できる人物になりすまします。
彼らは説得力のある経歴を作り出すことに重点を置いています。
これにより、被害者の信頼を悪用するため、非常に危険です。

攻撃者は、公開されている情報や過去のデータ漏洩から得た情報を利用し、より信憑性のあるストーリーを作成することができます。

口実詐欺の例

これらの詐欺の一般的な例には、以下のものがあります。

知人になりすます詐欺

警察官や税務署職員など、よく知られている人物になりすます。
たとえば、IRS（内国歳入庁）を名乗って電話をかけてくることがあります。

技術サポート詐欺

有名な技術系企業の社員になりすますことが一般的です。
主に、デバイスにウイルスがあると偽り、修正を申し出ます。

銀行詐欺の電話

銀行の職員になりすまし、口座で不審な活動があったと主張することがあります。

なぜ口実詐欺が増加しているのか？

以下の要因が、口実詐欺の増加につながっています。

1. 新たな技術革新

技術革新は、ビジネスのセキュリティに良い影響と悪い影響の両方をもたらします。
新しいシステムにより、企業はデータやネットワークをより適切に保護できるようになりました。

しかし、同時に新たな問題も発生しています。
いくつかの技術革新が、攻撃の成功率を高める要因となっています。
これにより、攻撃者は個人情報を入手しやすくなり、利用者を騙すことが容易になっています。

口実詐欺を助長する重要な要因の一つが、オンライン上に個人情報が存在することです。
インターネットを利用する人が増えるほど、大量のユーザーデータが公開されます。
これにより、ハッカーが標的の詳細情報を取得し、説得力のあるメッセージを作成するのが容易になります。

例えば、学生がSNSで個人情報を無意識に共有してしまうことがあります。
その情報を利用して詐欺師が友人や教授になりすまし、「レポートを手伝ってほしい」や「ちょっとしたお願いを聞いてほしい」といった理由で、ログイン情報や金融情報を要求することができます。

また、AIや機械学習の発展により、攻撃者は手法をさらに洗練させています。
これらのツールは、大量のデータを瞬時に分析できます。
ハッカーはこれらを利用して、特定のターゲットに適した偽のメッセージを作成します。

この技術の発展により、被害者が攻撃者の要求に従ってしまう可能性が高まっています。

さらに、コミュニケーションプラットフォームの普及も、口実詐欺の増加に影響を与えています。
多くの人がこれらのツールを利用して、個人やビジネスのやり取りを行っています。
これにより、攻撃者が個人や企業のネットワークにアクセスする機会が増えています。

対面のやり取りがないため、攻撃者が信頼できる人物になりすますことが容易になります。

2. リモートワークの普及

物理的なオフィスの外で働くことは、新しい概念ではありません。
これはパンデミック中の一時的な対応策として始まりましたが、多くの企業がこの働き方を採用するようになりました。

リモートワークには多くの利点がありますが、新たなセキュリティ上の課題も発生しています。
自宅で仕事をするということは、安全なオフィスネットワークの外で作業するということです。
代わりに、自宅のインターネットやクラウドアプリを使用して業務を行います。

さらに、多くの従業員が個人のデバイスを使用することを好みます。
この変化により、企業はさまざまな攻撃に対して脆弱になっています。

ハッカーは、対面での確認ができない状況を悪用します。
これにより、リモートワーク中の従業員に詐欺的な要求を信じ込ませることができます。
対面での確認がないため、犯罪者は企業の担当者になりすますことができます。

例えば、攻撃者は従業員にログイン情報を提供するように促すことが可能です。
リモートワークでは、オンラインのコミュニケーション手段やクラウドサービスに依存することになります。
これらのツールは便利ですが、口実詐欺を仕掛ける絶好の機会を作り出してしまいます。

口実詐欺は、信頼できる人物から送られたように見える説得力のあるメッセージに依存しています。
例えば、攻撃者はHR部門になりすましたメールを送信する可能性があります。
在宅勤務中の従業員は、このようなリクエストを直接確認することができないため、従ってしまう可能性が高くなります。

さらに、リモートワークでは、孤立によるストレスやプレッシャーが増加する傾向があります。
ハッカーはこれを悪用し、詐欺に緊急性を持たせることで被害者を騙します。
例えば、攻撃者は企業のIT担当者や上司になりすまし、「緊急のセキュリティアップデートのため、遠隔アクセスが必要」と要求することがあります。

このような緊急性を持った依頼は、従業員が正当性を確認せずに対応してしまう原因となります。
また、従業員はこれらの要求を対面で確認することができません。

口実詐欺の影響とは？

口実詐欺は、個人、企業、政府に大きな影響を及ぼします。
成功した詐欺による影響には、以下のものがあります。

金銭的損失

これらの攻撃は、直接的な金銭の損失を引き起こすことがよくあります。
ハッカーは盗んだ情報を利用して、不正な取引を承認します。

評判の損害

標的となった企業や組織は、深刻な評判の低下に直面します。
データ漏洩は顧客の信頼を失わせ、長期的なブランドの損害につながります。

精神的ストレス

被害者は不安を感じ、個人情報が侵害されたことで精神的な負担を抱えます。
詐欺からの回復は精神的に大きな負担となります。

口実詐欺を防ぐ方法

口実詐欺は非常に発見しにくい攻撃ですが、企業はさまざまな戦略を採用することで被害を軽減できます。
以下の対策が有効です。

1. 従業員の意識向上と研修

従業員の研修は、ネットワークおよびシステムのセキュリティ戦略において不可欠です。
従業員は詐欺やその他の脅威を特定できるように訓練されるべきです。
研修では、ハッカーが使用するさまざまな手口を認識することを重点的に学びます。

フィッシング攻撃は、技術的な脆弱性ではなく、人間のミスを狙います。
そのため、従業員はセキュリティの最も弱い部分となり、攻撃者に狙われます。
攻撃者は、従業員を操作して個人情報を提供させたり、制限されたシステムへのアクセスを許可させたりします。

十分な研修を受けていない従業員は、これらの詐欺の被害者になりやすく、結果として個人情報や企業データが危険にさらされます。
効果的な研修では、攻撃の種類について教育することが重要です。

それぞれの攻撃には独自の特徴がありますが、共通点として感情を操作する手法を使用します。
多くの攻撃は恐怖心や緊急性を煽ることで成功します。
従業員は、これらの攻撃の一般的な兆候を見分ける方法を学ぶ必要があります。

2. 高度なメールセキュリティソリューションの導入

メールは最も多く使用される通信手段の一つであり、主要な攻撃経路となっています。
企業は、複数の防御層を持つ高度なメールセキュリティソリューションを導入すべきです。

高度なセキュリティソリューションは、AIを活用してハッキングの試みを検出・ブロックします。
これらの技術は、大量のメールデータを短時間で分析できます。
企業は、詐欺行為を示すパターンを学習し、検出することが可能です。

例えば、AIはメールのヘッダーや添付ファイルの微妙な違いを識別できます。
また、AIはハッカーの手法が進化するたびに適応し、新しい詐欺手口を学習し続けます。

3. 多要素認証（MFA）の利用

従来のパスワードベースの認証方法では、機密アカウントやデータを十分に保護することはできません。
多要素認証（MFA）では、ユーザーが複数の方法で本人確認を行う必要があります。

例えば、パスワードに加えて、セキュリティトークンや顔認証が求められます。
この方法により、不正アクセスのリスクを大幅に軽減できます。

MFAの最大の利点は、セキュリティの強化です。
たとえパスワードが流出しても、追加の認証が必要なため、攻撃者が簡単にアクセスできません。
MFAは、ブルートフォース攻撃（総当たり攻撃）を含むあらゆる攻撃に対して効果的です。

ただし、MFAにはいくつかの課題もあります。
例えば、一部のユーザーは「手間がかかる」と感じ、導入に抵抗を示すことがあります。
しかし、セキュリティを強化するためには、MFAの導入が不可欠です。

最後に

口実詐欺の急増は、その手口がいかに巧妙であるかを示しています。
残念ながら、攻撃者はますます熟練し、その手法を巧みに実行するようになっています。
自身の情報を守るために、積極的な対策を講じるべきです。

強力なセキュリティポリシーを実施することで、これらの詐欺の被害に遭うリスクを減らすことができます。

口実詐欺に関するFAQ

Q: 口実詐欺とフィッシングの違いは何ですか？

A: 両方とも詐欺の手口ですが、アプローチが異なります。
口実詐欺は、偽のメッセージを使って個人情報を提供させる手法です。
一方、フィッシングは、メールなどの大量通信を利用し、被害者に悪意のあるリンクをクリックさせたり、マルウェアをダウンロードさせたりする手法です。

Q: フィッシングにおける口実詐欺の例は何ですか？

A: 典型的な例として、攻撃者がメールを通じてIT技術者になりすますケースがあります。
彼らは「アカウントに問題があるため、修正のためにアクセスが必要」と主張します。

Q: 口実詐欺に関するルールとは何ですか？

A: これは、消費者の個人情報への不正アクセスを防ぐための法律の規定です。
このルールにより、虚偽の口実（プリテキスト）を使って個人や企業のデータを不正に取得することは違法とされています。

Q: なりすましと口実詐欺の違いは何ですか？

A: どちらも関連する詐欺ですが、なりすましは、他人になりすまして信頼を得る行為です。
例えば、詐欺師が銀行職員になりすまして直接話しかける場合、これは「なりすまし」に該当します。

Q: 口実詐欺には制服の着用や権威の利用が含まれますか？

A: 制服の着用は、口実詐欺の一部になり得ます。
しかし、口実詐欺は外見だけでなく、信憑性のある状況を作り出すことが重要な要素です。