フィッシングメールの仕組みとDMARCなどのメール認証や多要素認証による多層防御策を表現したイメージ画像

フィッシングメールを防ぐ方法と効果的な対策

フィッシングメールの仕組みと効果的な多層対策


著者: Milena Baghdasaryan
翻訳: 東條 百々朱

この記事はPowerDMARCのブログ記事 How to Stop Phishing Emails? Prevention & Protection の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

主なポイント

  1. フィッシングは、特にメールを通じて行われる、最も一般的なサイバーセキュリティ上の脅威の1つです。
  2. メールフィルタやメール認証プロトコル、各種セキュリティツールは、フィッシング対策の第一の防御線です。
  3. 多要素認証（MFA）を有効にすることで、認証情報を盗まれた場合でも、アカウントへの不正アクセスを防ぎやすくなります。
  4. フィッシングメールを報告し、送信元をブロックすることで、今後の攻撃を防ぐとともに、他のユーザを同様の被害から守ることにもつながります。

「フィッシング（phishing）」という言葉は、サイバー犯罪者が詐欺メールを餌として使い、パスワードや金融情報などの機密情報を「釣る（fishing）」という考え方に由来しています。
「ph」という綴りは、1970年代に電話回線へのハッキングを意味した「phreaking」という言葉に由来しており、テクノロジを悪用した詐欺行為が古くから存在していたことを示しています。

フィッシングにはさまざまな形態がありますが、現在でもメールは最も一般的かつ危険な手段の1つです。
不正なリンクを一度クリックしたり、悪意のあるファイルをダウンロードしたりするだけで、端末やシステム全体が侵害される可能性があります。
フィッシングメールを防ぐ方法を学ぶことは、安全なインターネット利用の習慣を身に付け、個人や組織のデータを長期的に保護するうえで欠かせません。

フィッシングメールの仕組み

フィッシングメールは、技術的な脆弱性だけでなく、人間の心理を巧みに操るソーシャルエンジニアリングを利用します。
攻撃者は、受信者にすぐ行動させるため、緊急性、不安、恐怖、好奇心などを刺激する内容のメールを作成します。
代表的な手口は以下のとおりです。

送信者アドレスの偽装
正規のドメインによく似たアドレスを使用し、一部の文字を似た文字へ置き換えます。
例えば、アルファベットの「o」を数字の「0」に置き換える手口があります。
偽のリンク
認証情報を盗み取るために、本物そっくりの偽ログインページへ誘導します。
緊急性をあおる表現
「アカウントが停止されます」「至急確認してください」などの表現を使用し、受信者に内容を十分確認する時間を与えず、リンクをクリックさせようとします。
悪意のある添付ファイル
請求書、領収書、契約書、公式文書などを装い、ファイルを開いた端末へマルウェアを感染させます。

フィッシングメールを防ぐための対策

フィッシングへの注意喚起が進んでいるにもかかわらず、フィッシング攻撃は現在も多くの被害を引き起こしています。
ある調査では、フィッシング研修を実施しても、8か月後のフィッシングリンクのクリック率はわずか2％しか低下しませんでした。

このことからも、従業員教育だけに頼るのではなく、複数の対策を組み合わせた多層防御が重要であることが分かります。
メールセキュリティツールに加え、メールを慎重に確認する習慣、定期的なソフトウェア更新、MFAの利用、不審なメールの報告などを組み合わせる必要があります。

メールフィルタとセキュリティツールを利用する

現在の主要なメールサービスには、不審なメールを自動的に検出し、迷惑メールフォルダへ振り分けたり隔離したりする機能が標準で搭載されています。
Gmail、Outlook、Yahoo Mailなどでは、機械学習を利用し、既知のフィッシングパターン、悪意のあるリンク、なりすましドメインなどを検出しています。

ただし、これらのフィルタだけですべてのフィッシングメールを防げるわけではありません。
巧妙に作られた標的型フィッシングメールなどは、フィルタをすり抜けて受信トレイへ届くことがあります。
そのため、組織ではDMARC、SPF、DKIMなどのメール認証を導入することが重要です。

DMARC
DMARC（Domain-based Message Authentication, Reporting & Conformance）は、SPFとDKIMの認証結果を利用し、送信元ドメインの正当性を確認する仕組みです。
認証に失敗したメールをそのまま配信するか、迷惑メールとして隔離するか、受信を拒否するかを、ドメイン所有者が指定できます。
DMARCを適切に設定することで、自社ドメインになりすましたフィッシングメールやなりすましメールを防ぎやすくなります。
SPFとDKIM
SPF（Sender Policy Framework）は、自社ドメインを使用してメールを送信できるサーバをDNS上で指定する仕組みです。
DKIM（DomainKeys Identified Mail）は、送信メールへデジタル署名を付与し、正規の送信元から送られたことや、配送途中で内容が改竄されていないことを確認します。

SPFとDKIMをDMARCと組み合わせることで、メールの送信元をより確実に検証できます。
PowerDMARCのプラットフォームでは、包括的なメール認証管理、DMARC Analyzerダッシュボード、AIを活用した脅威インテリジェンス、リアルタイム脅威マップ、多言語対応の管理画面などを提供しています。

これらの機能により、組織はメールを悪用した脅威を可視化し、なりすましメールが受信者へ届く前に、DMARCポリシーに基づいて隔離または拒否できます。
個人ユーザの場合は、ブラウザやメールサービスが提供するセーフブラウジング機能などを有効にすることで、追加の保護が得られます。
また、Avast、Norton、Bitdefenderなどが提供するブラウザ拡張機能を利用すると、不審なWebサイトへアクセスしようとした際に警告を受けられる場合があります。

クリックする前にメールの送信元を確認する

強力なメールフィルタを利用していても、機密情報を要求するメールや、緊急の対応を求めるメールについては、必ず送信元を確認してください。
リンクをクリックしたり添付ファイルを開いたりする前に、以下の点を確認します。

送信者のメールアドレスを確認する
表示名だけで判断せず、送信者の完全なメールアドレスを確認してください。
メールクライアントによっては、「差出人」欄へカーソルを合わせたり、送信者名をクリックしたりすることで、実際のメールアドレスを表示できます。
support@amaz0n.comのように、正規ドメインとよく似た文字列や余分な文字が含まれていないか確認してください。
リンク先を確認する
リンクをクリックする前にカーソルを合わせ、実際のURLを確認します。
表示上は「paypal.com」となっていても、実際にはまったく異なるフィッシングサイトへ移動する場合があります。

スマートフォンでは、リンクを長押しするとリンク先を確認できることがあります。
少しでも不審に感じた場合は、メール内のリンクを使用せず、ブラウザから公式サイトへ直接アクセスしてください。
宛名を確認する
宛名が「お客様各位」「ユーザ様」「Dear Customer」「Valued User」など、一般的な表現になっていないか確認してください。
正規の企業でも一般的な宛名を使用する場合はありますが、不審なリンクや緊急性をあおる表現など、他の兆候と組み合わさっている場合は注意が必要です。
不自然な文章や誤字脱字を確認する
正規の企業から送られるメールでは、不自然な日本語や目立つ誤字脱字はほとんど見られません。
翻訳ツールで作成したような不自然な表現や、企業名、製品名、担当者名の誤りがある場合は、フィッシングメールの可能性があります。

銀行、IT部門、オンラインサービスなどを名乗るメールであっても、すぐにリンクをクリックしてはいけません。
新しいブラウザタブを開いて公式Webサイトへ直接アクセスするか、自分で確認した公式の電話番号を使って、送信元へ問い合わせてください。

ソフトウェアやブラウザを最新の状態に保つ

古いソフトウェアは、フィッシングを起点とする攻撃で狙われやすい部分です。
攻撃者は、悪意のある添付ファイルやリンクを利用し、OS、Webブラウザ、メールクライアントなどに残された既知の脆弱性を悪用します。
端末を安全に保つため、以下の対策を実施してください。

現在のブラウザには、フィッシングサイトやマルウェア配布サイトへのアクセスを警告する機能が搭載されています。
ただし、こうした機能を有効に活用するためにも、ブラウザを最新の状態に保つ必要があります。

不審なメールを報告してブロックする

フィッシングメールを報告することで、メールサービス側の検出精度が向上し、他のユーザを同じ攻撃から守ることにもつながります。
メールサービスによって報告方法は異なります。
代表的な方法は以下のとおりです。

Gmail
メールを開き、右上の三点メニューから「フィッシングを報告」を選択します。
Outlook
「報告」または「メッセージを報告」から「フィッシング」を選択します。
Apple Mail
メールを迷惑メールとしてマークするか、必要に応じてAppleが案内する窓口へ報告します。
Yahoo Mail
対象のメールを選択し、「その他」から「フィッシングとして報告」を選択します。

報告後は、必要に応じて送信元をブロックしてください。
多くのメールクライアントでは、特定の送信者をブロックリストへ追加したり、今後届くメールを自動的に迷惑メールフォルダへ振り分けたりできます。

ただし、攻撃者は送信元アドレスを頻繁に変更するため、個別の送信者をブロックするだけですべての攻撃を防ぐことはできません。
PowerDMARCでは、DMARCデータの監視、メールヘッダやドメインレピュテーションの分析、DNSセキュリティスコアの推移確認、自動DNS公開機能などを通じて、企業が悪意のある送信元やドメインを大規模に特定し、対処できるよう支援します。

将来のフィッシング攻撃を防ぐ

フィッシング対策では、届いたメールをその都度見分けるだけでは十分ではありません。
悪意のあるメールが受信トレイへ届いた場合でも、攻撃が成功しにくい環境を構築することが重要です。
以下の対策を継続的に実施してください。

多要素認証（MFA）を有効にする

多要素認証（MFA）は、ログイン時にパスワードに加えて、別の認証方法を求める仕組みです。
例えば、認証アプリで生成されるコード、スマートフォンへの通知、生体認証、セキュリティキーなどが利用されます。
攻撃者がフィッシングによってパスワードを盗んだとしても、追加の認証要素がなければ、アカウントへログインすることは困難です。

現在では、パスワードだけでアカウントを十分に保護することは難しくなっています。
特に、複数のサービスで同じパスワードを使い回している場合、1つのサービスから認証情報が漏洩するだけで、複数のアカウントが侵害される可能性があります。
以下のアカウントでは、MFAを有効にすることをおすすめします。

可能であれば、SMSによる認証よりも、認証アプリやセキュリティキーなど、より安全性の高い方法を利用してください。

自分自身と従業員を教育する

フィッシング研修だけではクリック率の改善が限定的な場合もありますが、実際の攻撃を想定した継続的な教育やシミュレーションを行うことで、長期的な警戒意識の向上が期待できます。
主な教育内容は以下のとおりです。

組織では、継続的な啓発活動とフィッシングシミュレーションを組み合わせることで、従業員の警戒意識を維持できます。
また、不審なメールを報告した従業員を責めるのではなく、速やかな報告を評価する文化を作ることも重要です。
PowerDMARCでは、迅速なサポートと導入支援により、組織が業務への影響を抑えながらメール認証を導入できるよう支援します。

強力なパスワードとパスワードマネージャを利用する

脆弱なパスワードやパスワードの使い回しは、フィッシング被害をさらに深刻にします。
攻撃者が1つのアカウントへ侵入すると、同じ認証情報を利用して、別のサービスへのログインを試みる可能性があります。
パスワードを安全に管理するため、以下の対策を実施してください。

パスワードマネージャを利用すると、複雑で一意のパスワードを自動生成し、安全に保存できます。
また、保存している認証情報がデータ侵害によって漏洩した可能性がある場合に、警告してくれる製品もあります。

フィッシングメールをクリックしてしまった場合の対処方法

フィッシングリンクをクリックしたり、不審な添付ファイルをダウンロードしたりした場合は、被害を最小限に抑えるため、できるだけ早く対応してください。

1.インターネットから切断する
マルウェア感染が疑われる場合は、Wi-Fiや有線LANを切断してください。
これにより、マルウェアが攻撃者のサーバと通信したり、同じネットワーク内の他の端末へ広がったりするリスクを抑えられます。
2.セキュリティソフトウェアでスキャンする
ウイルス対策ソフトウェアやマルウェア対策ソフトウェアを最新の状態へ更新し、完全スキャンを実行してください。
業務用端末の場合は、自分だけで対処せず、速やかにIT部門やセキュリティ担当者へ報告してください。
3.パスワードを変更する
偽サイトへパスワードを入力した場合は、可能であれば安全な別の端末から、該当するアカウントのパスワードを変更してください。
同じパスワードを他のサービスでも使用している場合は、それらもすべて変更します。
特にメールアカウントは、他のサービスのパスワード再設定に利用されるため、優先的に保護する必要があります。
4.金融機関へ連絡する
クレジットカード番号、銀行口座情報、暗証番号などを入力した場合は、直ちに銀行やクレジットカード会社へ連絡してください。
不正取引の監視、カードの利用停止、再発行などの対応を受けられる場合があります。
5.不審なログインを確認する
メール、SNS、クラウドサービスなどのログイン履歴を確認し、見覚えのない端末や地域からのアクセスがないか確認してください。
不審なセッションがある場合は、すべての端末からログアウトし、パスワードを変更したうえでMFAを有効にします。
6.フィッシングメールを報告する
利用しているメールサービス、所属組織のIT部門、必要に応じて公的機関へ報告してください。
報告することで、同じ攻撃による被害の拡大を防ぎやすくなります。

まとめ

フィッシングメールは、現在も最も一般的なサイバーセキュリティ上の脅威の1つですが、適切な対策によって被害を大幅に減らすことができます。
重要なのは、メールフィルタやセキュリティソフトウェアだけに頼らず、DMARC、SPF、DKIMなどのメール認証、MFA、ソフトウェア更新、従業員教育、不審なメールの報告などを組み合わせることです。
メールを安全に利用するために、セキュリティの専門家である必要はありません。

送信者やリンクを確認し、予期していない添付ファイルを開かず、少しでも不審に感じた場合は公式な手段で確認する習慣が重要です。
PowerDMARCでは、メール認証の設定・監視や脅威の可視化を通じて、組織のフィッシング対策を支援します。
適切なツールと日常的な確認を組み合わせ、フィッシングメールから個人情報、アカウント、組織のブランドを守りましょう。

よくある質問

フィッシングメールは完全に防げますか？
フィッシングメールを100％防ぐ方法はありません。
しかし、DMARC、SPF、DKIMなどのメール認証、スパムフィルタ、MFA、セキュリティソフトウェア、ユーザ教育などを組み合わせることで、多くのフィッシング攻撃を防止できます。
重要なのは、1つの対策だけに頼らず、多層的に防御することです。
フィッシングメールを開いただけで、リンクをクリックしなかった場合はどうなりますか？
通常は、メールを開いただけで直ちに端末が侵害される可能性は高くありません。
主な危険は、リンクをクリックする、添付ファイルを開く、偽サイトへ認証情報を入力するといった行動によって発生します。

ただし、メールにトラッキングピクセルが含まれている場合、メールが開封されたことや、そのメールアドレスが現在も使用されていることが送信者へ伝わる可能性があります。
不審なメールを開いた場合は、リンクや添付ファイルには触れず、迷惑メールまたはフィッシングとして報告し、削除してください。