Baiting攻撃とは？その防止策とは？

Baiting攻撃とは？その防止方法とは？

人の好奇心を突く罠の仕組みと防衛策を解説


著者: Ahona Rudra
翻訳: 逆井 晶子

この記事はPowerDMARCのブログ記事 What is a Baiting Attack, and How to Prevent it? の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

主なポイント

  1. サイバー犯罪者は、人の心理を巧みに利用するソーシャルエンジニアリングの手法を用いて、セキュリティを侵害しようとします。
  2. Baiting攻撃は、人の好奇心や利益を得たいという心理を悪用し、デバイスや情報を危険にさらす攻撃です。
  3. 最新のフィッシング攻撃の傾向について従業員を教育することは、Baiting攻撃を防ぐうえで不可欠です。
  4. ウイルス対策ソフトウェアやマルウェア対策ソフトウェアを利用することで、脅威が被害を引き起こす前に検出し、ブロックできます。
  5. 模擬攻撃を実施すると、脆弱性を特定できるだけでなく、従業員が不審な挙動を見分ける訓練にも役立ちます。

サイバーセキュリティにおけるBaiting攻撃は、世界中のサイバー犯罪者によって利用されている、代表的かつ成功率の高いソーシャルエンジニアリング手法の一つです。
他のサイバー攻撃が技術的な脆弱性に大きく依存するのに対し、Baitingは人間の好奇心や信頼を悪用します。
Baitingとは何か、どのように行われるのか、そしてどのように身を守ればよいのかを理解することは、強固なサイバーセキュリティ意識を維持し、データ侵害を防ぐために重要です。

サイバーセキュリティにおけるBaitingとは？

Baiting攻撃とは、好奇心や利益を得たいという心理を刺激する魅力的な誘いを使い、被害者をだますソーシャルエンジニアリングの手法です。
例えば、攻撃者はロビーや駐車場などに、悪意のあるプログラムを仕込んだUSBメモリを置き、誰かが興味本位でデバイスに接続することを狙います。
USBメモリが接続されると、内部に仕込まれたマルウェアが実行される可能性があります。

また、攻撃者が悪意のあるファイルを添付したメールを被害者に送信する場合もあります。
添付ファイルを開くと、マルウェアがBaiting攻撃の定義やUSB・偽サイトなどの手口、防止対策を解説。フィッシングとの違い、従業員教育やウイルス対策ソフトの活用法に加え、PowerDMARCによるメールセキュリティ強化も紹介。にインストールされ、利用状況を監視されたり、情報を盗まれたりする可能性があります。

さらに、悪意のあるコードを仕込んだWebサイトへのリンクを含むメールが送られることもあります。
このリンクをクリックすると、デバイスがマルウェアやランサムウェアに感染するおそれがあります。

攻撃者は、個人情報や金銭を盗むためにBaiting攻撃を利用します。
人をサイバー犯罪の被害者にする新たな手口が次々と見つかっていることから、この攻撃はますます一般的になっています。

Baiting攻撃の種類

Baiting攻撃には、現実世界とデジタル世界の両方でさまざまな形態があります。
これらの手法は、人や組織の物理的なインフラを標的にすることも多く、あらゆる侵入口を把握するための包括的なアタックサーフェス管理が重要であることを示しています。

サイバー犯罪者は標的に応じて手口を変えるため、どのような方法でBaiting攻撃が行われるのかを理解しておくことが重要です。
以下は、代表的なBaiting攻撃の種類とその仕組みです。

物理的なBaiting
物理的なBaitingでは、攻撃者はUSBメモリ、CD、外付けストレージなど、マルウェアに感染したハードウェアデバイスを使用します。
これらのデバイスは、駐車場、オフィス、エレベーター、公共スペースなど、人が拾いやすい場所に意図的に置かれます。
被害者がそれらをコンピュータに接続すると、マルウェアが自動的にインストールされ、攻撃者がファイルやネットワーク、場合によってはシステム全体へアクセスできるようになる可能性があります。
デジタルBaiting
デジタルBaitingでは、無料ソフトウェア、海賊版映画、音楽、ゲームなどを装ったオンラインコンテンツが利用されます。
これらのダウンロードファイルには、インストール時に実行される悪意のあるコードが隠されている場合があります。

インターネットを介して世界中に拡散できるため、デジタルBaitingは非常に大きな脅威となります。
被害者は価値のあるものを無料で入手していると思い込みますが、実際にはデバイスのセキュリティや個人情報を危険にさらしています。
オンラインキャンペーンや特典
攻撃者は、人の好奇心やお得感を利用し、偽の注文確認メール、キャンペーン、クーポン、期間限定割引などを作成します。
こうしたBaiting手法では、個人情報、ログイン認証情報、支払い情報などの入力を促されることがあります。

場合によっては、マルウェアを配布する悪意のあるリンクや添付ファイルが含まれています。
信頼できるブランドやWebサイトから送られてきたように見えるため、多くの人がだまされてしまいます。
クラウド・メールBaiting
クラウドやメールを利用したBaiting攻撃では、信頼されている通信プラットフォームを悪用して悪意のあるコンテンツを配布します。
攻撃者は、クラウド共有サービス上のファイルへのリンクや、安全で正当なものに見える添付ファイルをメールで送信します。

被害者がクリックまたはダウンロードすると、システムが感染したり、認証情報を盗み取るフィッシングリンクへ誘導されたりする可能性があります。
メールやクラウドサービスは業務でも日常でも広く利用されているため、この攻撃は特に危険です。

Baiting攻撃の例

Baiting攻撃の例を以下に示します。

Baitingとフィッシングの違い

Baitingとフィッシングはいずれもソーシャルエンジニアリング攻撃ですが、誘導の仕方に違いがあります。
Baitingは、無料ダウンロード、USBメモリ、特典、報酬などの「餌」を使い、被害者の好奇心や欲求を刺激して行動させる攻撃です。

一方、フィッシングは、信頼できる企業や金融機関、知人などになりすまし、メールや偽サイトを通じて認証情報や個人情報を盗み取る攻撃です。
Baitingでは「魅力的なものを得られる」と思わせる点が中心であり、フィッシングでは「信頼できる相手からの連絡だ」と思わせる点が中心です。
どちらも、リンクのクリック、添付ファイルの開封、個人情報の入力などを促す危険な攻撃手法です。

Baitingとプリテキスティングの違い

Baitingが好奇心や魅力的な報酬を利用するのに対し、プリテキスティングは架空のストーリーや状況を作り出し、被害者から情報を引き出します。
プリテキスティング攻撃では、サイバー犯罪者はIT担当者、企業の役員、政府機関職員などになりすまし、信頼を得たうえで機密情報を取得しようとします。

例えば、「技術的な問題を解決するため」と称して、ログイン認証情報を要求することがあります。
Baitingが無料ダウンロードやUSBメモリなどの「餌」を用いるのに対し、プリテキスティングは権威や正当性への信頼を悪用します。
どちらもソーシャルエンジニアリングですが、プリテキスティングは「作り話による欺瞞」、Baitingは「報酬による誘惑」が中心です。

BaitingとQuid Pro Quo攻撃の違い

BaitingとQuid Pro Quo攻撃は、どちらも価値のあるものを提示する点で似ています。
しかし、その提示方法が異なります。
Quid Pro Quo攻撃では、攻撃者は情報やアクセス権と引き換えに、サービスや利益を提供すると明確に約束します。

例えば、技術サポート担当者を装い、「無料でトラブルシューティングを行う代わりにログイン認証情報を教えてほしい」と持ち掛けます。
一方、Baitingでは必ずしも明確な交換条件は提示されません。

例えば、「機密情報」と書かれたマルウェア感染USBメモリを公共の場所に置くなど、好奇心や欲を刺激することで被害者を誘導します。
Quid Pro Quoは直接的な取引を装うのに対し、Baitingはより巧妙に「チャンスを得た」と思わせる点が特徴です。

Baiting攻撃を防ぐ方法

Baiting攻撃を防ぐには、攻撃者の目的や手口を理解することが重要です。

1.従業員を教育する
まず、従業員に自己防衛の方法を教育してください。
研修やセキュリティ啓発活動を通じて、最新のフィッシング手法や攻撃傾向を継続的に共有することが重要です。
また、リンクをクリックしたり添付ファイルを開いたりする前に、危険性を見極める方法も教えましょう。
2.リンクを安易にクリックしない
送信者がメールを送ってきたという理由だけで安全だと思い込み、リンクをクリックするのは危険です。
フィッシングメールは、自社のメールアドレスや人事担当者など、正当な送信元を装うことがよくあります。
3.Baiting攻撃について学ぶ
「うますぎる話」は疑う習慣を身に付けましょう。
無料の金銭や商品を提供するといった話は、多くの場合、見た目ほど魅力的なものではありません。

銀行を名乗る人物からメールやSMSで個人情報や金融情報を求められても、決して提供しないでください。
代わりに、銀行へ直接連絡し、そのような依頼を送信したかどうかを確認し、詐欺の可能性を報告してください。
4.ウイルス対策ソフトウェアとマルウェア対策ソフトウェアを使用する
優れたウイルス対策ソフトウェアは数多くありますが、すべてがBaiting攻撃を防げるわけではありません。
最新の脅威を検出してブロックできる製品を利用してください。
例えば、Malwarebytes Anti-Malware Premiumは、マルウェアなどの脅威に対するリアルタイム保護を提供します。
5.外部デバイスはマルウェア検査後に使用する
USBメモリや外付けハードディスクなどの外部デバイスには、マルウェアが含まれている可能性があります。
コンピュータへ接続する前に、必ずウイルススキャンを実施してください。
6.模擬攻撃を実施する
模擬攻撃を定期的に実施することも効果的です。
これにより、システムや運用上の弱点を事前に発見し、本番環境で問題になる前に改善できます。
また、従業員が不審な挙動を見分ける訓練にもなります。

まとめ

Baiting攻撃は新しい脅威ではありませんが、その発生件数は増加しており、大きな被害をもたらす可能性があります。
企業、ブログ、フォーラムなどを運営している場合は、オンライン資産をこのような攻撃から守る責任があります。
被害が拡大する前に、早めに対策を講じることが重要です。

Baiting攻撃やその他のソーシャルエンジニアリング攻撃への対策を強化するには、高度なメールセキュリティおよびメール認証ソリューションの導入を検討してください。
PowerDMARCは、DMARC、SPF、DKIMなどの強力なメール認証プロトコルを適用することで、フィッシング、なりすまし、不正キャンペーンからドメインを保護します。
今すぐ導入し、攻撃者に悪用される前にブランドの信頼性を守りましょう。

よくある質問

Baiting攻撃の被害に遭った可能性がある場合、まず何をすべきですか？
デバイスをインターネットから切断し、ウイルス対策ソフトウェアまたはマルウェア対策ソフトウェアで完全スキャンを実施してください。
その後、パスワードを変更し、IT部門またはセキュリティチームへ報告してください。
Baiting攻撃の標的になりやすい業界はどこですか？
金融、医療、政府機関、テクノロジ業界など、機密データを扱う業界が特に狙われます。
ただし、どのような組織でも被害を受ける可能性があります。