本ブログは、英語版ブログ「https://www.proofpoint.com/us/security-awareness/post/latest-phishing-january-2020」の翻訳です。
フィッシング統計と最新のニュース
標的型フィッシングが増加
Proofpointがリリースした2020年State of the Phishレポートには、グローバルなフィッシングトレンドの調査に基づく多くの興味深いフィッシング統計が含まれています。このレポートは、7か国の600人を超える情報セキュリティの専門家を対象とした調査を初めとする複数のソースから集められたデータを分析したものです。
この調査によると、2019年には全世界の組織のほぼ90%が標的型フィッシング攻撃を受けました。また、世界中の組織の88%がスピアフィッシング攻撃を経験し、86%がビジネスメール詐欺（BEC）攻撃に対処しました。これらの調査結果は、Proofpointの脅威インテリジェンスとも一致しており、不特定多数を狙うバルクキャンペーンから、ターゲットを絞りパーソナライズされた攻撃に移行するトレンドを示しています。
サイバー犯罪者は、電子メール以外の場面でもフィッシングのテクニックを頻繁に利用しました。情報セキュリティの専門家は、2019年にはさまざまな方法でソーシャルエンジニアリングのテクニックが頻繁に試行されたことを報告しました。
- 組織の86%がソーシャルメディア攻撃に対処
- 84%がSMS/テキストフィッシング（スミッシング）を報告
- 83%が音声フィッシング（ビッシング）を経験
- 81%が悪意のあるUSBドロップを報告
State of the Phishレポートをダウンロードして、フィッシングに関連する詳細な統計情報と実用的なインサイトを入手し、今後1年間のサイバーセキュリティ戦略に人中心のアプローチを適用するために役立ててください。
フィッシングサイトの数が3年ぶりに最高を記録
Anti-Phishing Working Group（APWG）による最新のPhishing Activity Trends Reportでは、フィッシングのためのWebサイトの数が大幅に増加していることが報告されています。APWGは2019年第3四半期に266,387個のフィッシングサイトを検出しました。これは第2四半期から46%増加しており、2018年第4四半期に検出された数のほぼ2倍に達しています。
このレポートでは、BEC攻撃の現金化戦略に関するインサイトも提供しています。第3四半期に、詐欺師はBEC攻撃の56%で（iTunesなどの）ギフトカードを要求し、続いて従業員の給与振込先の変更（25%）および銀行振込の要求（19%）を行いました。ギフトカードの要求は最も多数を占めましたが金額は少なく、平均1,571ドルでした。数の上では少なかった電子送金の要求金額は2,530ドルから850,790ドルの範囲で、平均は52,325ドルでした。
以下に、いくつかの追加のインサイトを示します：
- 第3四半期にフィッシングアクターは毎月400社以上のブランドを攻撃しました。これは第2四半期に比べて大幅に増加しています（平均毎月313社）。
- 前四半期と同様、第3四半期も最も標的とされた業界セクターはSaaSとWebメールサービスであり、すべての攻撃の33%を占めました。
- HTTPS暗号化を使用するフィッシングサイトの数が増加し、第3四半期には3分の2以上がHTTPSを使用していました。APWGは、この傾向は「特定のサイトが安全かどうかをユーザーが判断する際に、SSLの使用をチェックすることは有効な指標では無い事を示している。」と指摘しています。
マーケティングおよび広報部門はフィッシングのリスクが高い
Proofpointの最新の人を保護するレポートでは、2019年1月から6月に収集されたサイバーセキュリティの脅威データを分析しています。このレポートでの重要なポイントの1つは、マーケティング/広報部門の従業員は、マルウェアおよびフィッシングによる全体的なリスクが最も高いことです。施設管理/社内サポート（IT担当者を含む）およびR&D/エンジニアリング部門が、マーケティング/広報カテゴリに続いています。
マーケティング/広報部門の担当者が狙われるのはなぜでしょうか? 理由として考えられるのは、これらの部門の担当者の電子メールアドレスにアクセスしやすいことが挙げられます。たとえば外部に公開されるプレスリリースには、広報部門の担当者の連絡先情報が含まれていることがよくあります。
2019年上半期の攻撃の傾向について詳しく知り、それらに対抗する方法に関する情報を得るために、こちらからレポート全体をダウンロードしてご覧ください。
フィッシング攻撃
偽のブラウザアップデートが増加
侵害されたWebサイトが、信頼できるように見える（そして悪意のある）ブラウザアップデートウィンドウを表示するという脅威が増加しており、Proofpointの研究者がそれを特定しました。これらのウィンドウには、安全のためのセキュリティアップデートを含んでいると主張する詐欺メッセージが含まれており、エンドユーザーにファイルのダウンロードを促します。ファイルをダウンロードすると、ユーザーのシステムにマルウェアが感染します。
この偽のアップデートキャンペーンは、すべてのユーザーまたは組織に影響する可能性がありますが、ヘルスケア、教育、製造、および金融投資業界で特に多く観測されています。
Attack Spotlightシリーズの12月の記事では、セキュリティ意識向上のためのリソースを無料で提供しています。これをエンドユーザーとすぐに共有して、偽のブラウザアップデートや同様の攻撃を回避できるようにしてください。
アクティビズムを狙った攻撃
多くのフィッシングルアーは、被害者をだまして行動を起こさせるために人間の私欲や利己心を利用します。しかし災害救援募金詐欺など、被害者の善意に訴えるルアーは特に許せないものです。12月、ProofpointのThreat Insightチームは、環境問題に関心のある人々や活動家グレタ・トゥーンベリの支持者を対象としたグローバルな悪意のある電子メールキャンペーンを観測しました。
Emotetマルウェアを配信しようとする悪意のあるメールは、「Support Greta Thunberg-Time Person of the Year 2019」（グレタ・トゥーンベリを助けて下さい - 2019年の英Time紙の「今年の人」です）などの件名を使用しています。攻撃の多くはローカルの言語に翻訳されており、驚くべき数が.eduドメイン（教育機関が使用）を標的としています。Proofpointの研究者Sherrod DeGrippoは「これは、トゥーンベリさんが学生や若者の間で強力に指示されていることを考えると、理にかなっています。」と述べています。
Proofpointについて
Proofpoint Inc.（NASDAQ：PFPT）は、人々の働き方を守るクラウドベースのソリューションを提供する次世代の主導的セキュリティ/コンプライアンス企業です。Proofpointのソリューションは、電子メール、ソーシャルメディア、モバイル、クラウドアプリケーション経由で行われる高度な攻撃からユーザーを保護し、高度な攻撃やコンプライアンスリスクからユーザーが作成した情報を保護し、インシデント発生時には迅速に対応できます。詳細はwww.proofpoint.com/jpをご覧ください。
© Proofpoint, Inc. Proofpointは米国及びその他の国々におけるProofpoint, Inc.の商標です。本ドキュメントに記載されている会社名、製品名、サービス名は、一般に各社の登録商標または商標です。本ドキュメントの記載内容、製品及びサービスの仕様は予告なく変更されることがあります.
www.proofpoint.com/jp