(この記事は2016年8月の記事を2018年3月に加筆修正を行なったものです。)

こんにちは、コンテンツ担当の伏見です。

みなさんはサイバー攻撃と聞いてどんなことを想像しますか？フィッシングやなりすましメールなど、メール1つとっても様々あります。また大企業が被害にあったというニュースを聞くこともしばしばあります。

今回はそんなサイバー攻撃によって情報漏洩やウイルス攻撃を受けてしまうその前に、現代のビジネスパーソンなら知っておくべきメールを使ったサイバー攻撃の手口とその対処法をご紹介します！

近年のメールによるサイバー攻撃は手口が巧妙

そもそも私がこの記事を書こうと思ったきっかけは、JTBが被害を受けたグループ会社に不正アクセスがあり、790万人分もの個人情報が流出した可能性があると発表したというニュースを目にしたからです。「標的型攻撃メール」という、文字どおり特定の相手を対象にしたメールから、内部情報への不正アクセスによる情報流出の可能性があったというものです。

その他のサイバー攻撃について調べてみると、8月に入ってappleを装ったメールを送り、アカウントへ不正アクセスをし、個人情報を奪おうとするメールが出回っていたり、同様に個人情報を奪う目的で人気ゲーム「ドラゴンクエスト」を騙ったスパムメールの報告があったりと、メールによるサイバー攻撃のニュースは思っていた以上に身近に存在しています。
また最近では「一般従業員より、役員の方がサイバー攻撃に騙されやすい」というデータもあります。

仕事でメールを活用することが多い現代のビジネスパーソンにとって、まさに「最も身近に潜む犯罪」と言えるでしょう。

2018/03追記：2018年を迎えた現在も、動画配信サービスNetflixを騙ったメールでフィッシングサイトに誘導する例や、LINEを騙ったフィッシングメールなどの報告もあり、まだまだフィッシングメールを含めたサイバー攻撃について警戒する必要があります。

メールを使ったサイバー攻撃は大きく分けて2種類

では、ここからは実際にメールによるサイバー攻撃にはどんなものがあるのかを見ていきましょう。
メールでのサイバー攻撃は大きく分けて、「標的型攻撃メール」と「フィッシングメール」の二種類が存在します。

1. 特定の相手を狙った「標的型攻撃メール」

こちらは特定の個人や組織をターゲットとしたメールによる手口です。

一般的にメールに添付されたファイルを開いてしまうことで、あらかじめプログラムされていたシステムが動作し、ウイルス感染や機密データを奪われてしまうというものです。

標的型攻撃メールは特定の組織にいる複数の人に同時に送られることが多いそうです。つまり、メールを受信した内の一人でも開封し、添付ファイルを確認してしまうと組織として被害を受けてしまうことになるのです。

今では普段やりとりしているメールと見分けがつかないくらい手口が巧妙になっています。僕なら攻撃を受けたことに気付けるか、正直自信がありません。

2. 無差別犯罪「フィッシングメール」

こちらは特定の相手をターゲットとせず、不特定多数に向けて送られるメールです。よく知られている手口として、金融機関やクレジットカード会社を装い、偽のウェブサイトへアクセスさせるよう仕向けて、情報確認と称して口座番号やカード情報、パスワードなどをそのサイト上で入力させ、個人情報を奪うといったものがあります。

これまではテキストメールを使ったものが多かったのですが、ドラゴンクエストの例の様にHTMLメールが使われるなど、こちらも手口が巧妙化しています。

少しでも、変だな？と思ったら要注意！

実際に犯罪を見分けることは難しいのかもしれませんが、有効的な対策として”セキュリティーソフトを入れておく”、”パスワードをこまめに変更する”などが被害を最小限に抑えられる手法だと言われています。

ですが、メールを開封するというアクションを行うのは受信者であり、最終的にはメールを受信する一人一人の危機管理能力が犯罪抑止に繋がることは事実です。
そこで、どのようなメールを受信してしまった時に注意すべきか、以下をご確認ください。

■メールの概要

  1. 今までにやりとりのない人からのメール
  2. 配信元がフリードメイン（@gmailや@yahooなど）のメール
  3. 差出人アドレスとメールの署名のアドレスが異なる
  4. 住所や電話番号が違うなど署名の内容にまちがいがある

■メールの内容

  1. これまで届いたことのない公的機関からのメール
  2. 組織全体への案内メール
  3. IDやパスワードといった個人情報の入力を要求するメール
  4. 日本語の言い回しが不自然 → 翻訳サービスを使った様な言い回し
  5. 日本語では使用されない漢字が使われている
  6. 実在する名称を一部に含むURLの記載 → 一見すると実在する組織、団体のページURLに見えても、実は偽サイトであるケースがあります
  7. 表示されているURLと実際のリンク先URLが異なる → ハイパーリンクとして添付されているURLが偽サイトである
  8. 前述の様なメールにファイルが添付されている
  9. ショートカットファイル（ lnkなど)が添付されている
  10. ファイル拡張子が偽装されている

サイバー攻撃の被害を防ぐための5つの注意事項

こういった怪しいメールが届いた時に、「実はサイバー攻撃を受けているのでは？」という確信を得るために以下のようなことにも注意をしましょう。

  1. 内容に対して心当たりがない
    → 当然ですが、身に覚えのないメールを開いてしまうのは禁物です。
  2. 個人情報を聞かれていないか
    → 冷静になって考えてみるとメールで個人情報を聞かれること自体、不自然ですね。
  3. 件名に【緊急】【重要】などのキーワードや不必要に興味を引かせる書き方になっていないか
    → 「早く添付しているファイルを確認しないと！」と思わせる様な過剰に煽ってくるメールは要注意です。
  4. リンク先のページで表示されているブラウザにSSL暗号化マークが表示されているか
    → 個人情報を入力するページなどはセキュリティーのため、通常SSL暗号化がなされています。ですが、偽サイトの場合、SSL暗号化がされていないケースが多いとのことですので、ちゃんとマークがあるのか確認しましょう。
    cyber_attack_ssl
  5.  SSL証明書が正規の企業であるか確認
    →4で表示された 鍵マークをクリックすることでSSL証明書を確認することができます。個人情報を入力する前に証明書発行元が正規の企業であるか、こちらで確認しましょう。

また、前にもお伝えしましたが標的型攻撃メールは同時に複数の人に届きます。怪しいメールを受け取ったら社内で共有することが大切です。

他にも以下のサイトでは最新のフィッシングメール報告を確認することができます。

”フィッシング対策協議委員会 – 緊急情報一覧”で最新情報をチェックしておくことも防犯につながります。

さいごに

今回はメールによるサイバー攻撃の実態と対処法についてご紹介しました。

大事なのは、メールを受け取ったから即開封してファイルを確認するのではなく、少しでも疑いのあるものは注意深く、社内でも情報共有を行うということです。

これさえ覚えておけば100%被害を防げることではないかもしれませんが、被害を最小限に抑えることになると思います。

それでは、伏見でした。

 

【参考記事】
政府公報オンライン – あなたを狙う「標的型攻撃メール」「フィッシングメール」被害防止には一人一人の情報セキュリティ対策が重要です
IPA 独立行政法人 情報処理推進機構 – IPAテクニカルウォッチ「標的型攻撃メールの例と見分け方」

// <![CDATA[
(function(d){
if(typeof(window.NINJA_CO_JP_ONETAG_BUTTON_90818a3f7b8eab24a4f61efc3268c079)=='undefined'){
document.write("”);
}else{
window.NINJA_CO_JP_ONETAG_BUTTON_90818a3f7b8eab24a4f61efc3268c079.ONETAGButton_Load();}
})(document);
// ]]>
著者情報：

by Benchmark Team