フィッシング攻撃？これらの例で危険信号を見抜く

フィッシングのスキームは、ビジネスに大混乱をもたらす巧妙な作戦へと進化しました。あるケースでは、フィッシャーがCEOになりすまします。またあるケースでは、不正な請求書リクエストを行います。2025年のIBMのレポートによると、フィッシングは攻撃1回あたり平均440万ドルのコストを企業に負わせています(新しいウィンドウ)。

しかし、この種の高額な損失を伴う攻撃を防ぐ方法はあり、それは従業員から始まります。Verizonによる最近の調査によると、従業員の8%がフィッシング攻撃の80%という驚異的な割合に関与しています(新しいウィンドウ)。技術がかつてない速さで進歩する中、サイバー犯罪者はセキュリティの保護手段ではなく、人間の行動を悪用する新しい方法を使用してデータシステムを侵害しています。

この記事では、フィッシングの警告サイン（兆候）、注意すべきフィッシング攻撃の例、およびフィッシング攻撃がビジネスに損害を与えるのを防ぐために実装できる10の最良のビジネス慣行を紹介します。

フィッシングとは？

フィッシングは、信頼できる組織になりすまして人々（多くの場合、従業員）を騙し、個人情報や機密情報を明かさせるように設計されたサイバー犯罪の一形態です。しかし、フィッシングはもはやメールや偽のウェブサイトだけで起こるわけではありません。高度な技術的スキルを必要とする組織のソフトウェアのハッキングの代わりに、フィッシャーは説得、緊急性、権威などの感情的に操作するツールを使用して人間の心理とエラーを悪用し、被害者に機密資料を簡単に引き渡させます。

たとえば、従業員は、CEO、サプライヤー、または有名なサービスプロバイダーから送信されたように見えるメールを受け取る可能性があります。メッセージは、セキュリティ侵害、請求書の未払い、または不審なログイン試行について警告し、受信者に直ちに行動を起こすよう促すでしょう。受信者が埋め込みリンクをクリックしたり、機密情報（ログイン認証情報や機密アカウント情報など）を記載してメールに返信したりすると、攻撃者は企業の内部システムネットワーク全体にアクセスできるようになります。

一般的なフィッシング攻撃の種類

詐欺やデータ侵害につながる可能性のあるフィッシング攻撃には多くの種類があります。以下は最も一般的な種類です：

メールフィッシング: 会社の幹部やB2Bベンダーからの偽のメッセージで、従業員のログイン認証情報を要求し、攻撃者が会社のデータシステムにアクセスできるようにするもの。
スミッシング: SMSメッセージングやWhatsAppなどのテキストメッセージアプリを通じたフィッシング。
ビッシング: CEOや銀行の担当者などの権威ある人物を装ったビデオまたは音声詐欺。
クイッシング: 被害者を不正なリンクに誘導する偽のQRコードによるフィッシング。

注意すべきフィッシングのサイン

本物のメールと詐欺の区別がつかない？以下は、本物ではなくフィッシングメールを扱っていることを見分けるための重要な方法です：

不審な、または一致しないメール送信者のアドレス。
緊急または恐怖をあおる言葉。
機密データの要求。
スペルミス、文法エラー、不自然なトーン、またはAIの場合はエラーが全くなく「違和感のある」あるいは堅苦しいトーン。
公式ウェブサイトのドメインと一致しないウェブサイトにつながるリンク。
ログイン認証情報や個人の財務情報の要求。

フィッシング防止戦略とベストプラクティス

行動を起こすことで、ビジネスと従業員がフィッシャーの一歩先を行くことができます。以下は従うべきベストプラクティスです：

従業員をトレーニングし、フィッシングの試みを特定できるようにし、メッセージが偽物だと確信が持てなくても、可能性のあるすべてのフィッシング攻撃を報告するようチームに奨励します。
強力なメールフィルタリングを実装する、およびアンチフィッシングツール。Proton Mailのようなプライバシー重視のメールプロバイダーに切り替えることから始めることができます。Proton Mailには、潜在的なフィッシング攻撃にフラグを立てるスマート迷惑メールフィルターと組み込みのPhishGuardがあります。
Proton Authenticatorを使用して2要素認証を有効にし（2FA）、あなたと従業員のオンラインアカウントに追加の保護レイヤーを提供します。
定期的にオペレーティングシステムを更新し、ブラウザを最新の状態にして、ハッカーやフィッシャーがソフトウェアのバグを通じてデータにアクセスできないようにします。
金融取引やデータ変更のすべてのリクエストを確認します。
このブログでまとめたようなフィッシングのシミュレーション演習を実施します。
強力なパスワード管理を強制し、ポリシーを策定して、セキュリティ強化のためにパスワードマネージャーを使用します。
インターネットを監視し、ドメインスプーフィングや自社ブランドになりすましたフィッシャーを定期的に探します。
エンドツーエンドのデータ暗号化を実装し、VPNを使用します。
フィッシング攻撃に対するクリアな（明確な）インシデント対応プランを用意し、従業員が攻撃を適切に報告する方法を知っているようにします。

フィッシング攻撃の実例

フィッシングは、サイバーセキュリティの最も弱いリンク、つまり人間を悪用するため、依然として猛威を振るっています。以下は、注目を集めた実際の例です：

例1: フィッシング攻撃が偽のメールを送信して認証情報を盗み、直接預金の情報を不正に変更することで、カリフォルニア大学の従業員(新しいウィンドウ)を標的にしました(新しいウィンドウ)。攻撃者はまた、信頼できそうな偽のウェブサイトを通じてユーザー名とパスワードを盗み(新しいウィンドウ)、電話やテキストメッセージを通じてヘルプデスクになりすましました。
例2: フィッシング攻撃が車椅子プロバイダーであるNumotionの従業員を標的にし(新しいウィンドウ)、約50万人の記録をさらしました。この侵害により、名前、生年月日、医療記録、財務情報、場合によっては社会保障番号が露出しました。Numotionは機密情報の保護を怠ったとして複数の訴訟に直面しています。
例3: 日本では、大規模なフィッシング詐欺(新しいウィンドウ)が、支払いデータを盗むために(新しいウィンドウ)、Amazon、PayPal、Apple、その他の信頼できるブランドになりすました偽のメールを5億8000万通以上送信しました。