個人情報が釣られる？フィッシング詐欺に有効なセキュリティ対策

フィッシング詐欺とは？巧妙な手口に注意

業務でメールを使用している方なら、フィッシング詐欺メールを何度か目にしていることでしょう。例えば金融機関を装ったメールによって、偽サイトにアクセスさせ、住所、氏名、銀行口座番号、クレジットカード番号などの個人情報を盗み取ろうとします。
フィッシング詐欺の巧妙なところは「詐欺」らしくないところです。その差出人は、クレジットカード会社や銀行であったり、ショッピングサイトであったり、公共料金の窓口担当を装ったものであったりします。
たとえば、クレジットカード会社からいつものようにメールが届きます。
そこには「最近、当社の名前を使った詐欺メールが増えています。お客さまのアカウントが第三者によって不正にログインされた可能性があります。現在アカウントが使用できずロックしておりますので、下記のサイトで新しいIDとパスワードを設定してください」と呼びかけます。
これが日頃受け取っているメールそっくりのレイアウトで、メール内容にも不自然な点がありません。ですので、ターゲットとなった人は言われるがままにID、パスワードをを入力して、数週間後、本人に覚えない数十万円の買い物があり、フィッシング詐欺にあっていたことに気付くのです。

スマートフォンや企業も狙われている

受け取ったメール同様、アクセスした際に表示されるWebサイトも本物そっくりです。ここも巧妙にできています。もちろん、細かく見ていくと、ドメイン名の一部が本物のwebサイトと違っていたり、証明書がなかったりします。しかし、多くの方はWebサイトの見た目で判断し、疑問を持つことなくアカウントを入力してしまい、詐欺に引っかかります。
PCへのメールだけではなく、スマートフォンにショートメッセージが届くケースもあります。この場合も同様に、偽のWebサイトに誘導され、個人情報を盗まれます。

クレジットカードやショッピングサイトなどのID・パスワード等を狙う詐欺は個人がターゲットのように感じられますが、企業・社員も狙われています。現在多くの企業ではクラウドサービスを利用しています。そのIDとパスワードを盗もうとしている組織があります。利用しているクラウドサービスと似たWebサイトに誘導され、IDとパスワードが盗まれ、クラウドに存在する顧客情報の漏洩等の被害が発生した例もあります。

さらに、ここで得られたIDとパスワードを使って企業内のメールなどを読み取り、その企業の調査・研究を重ね、やがてウィルスを忍び込ませた巧妙なメールを送り込みます。こうして、標的型攻撃やビジネスメール詐欺を展開していきます。

アンチスパムとWebフィルタリングで対策

フィッシング詐欺を防ぐ入口対策にアンチスパムがあります。サイバー犯罪者集団の使用するIPアドレスや使用しているURL、怪しげな文言等をリスト化し、該当するメールが来たらスパムメールとしてブロックします。
アンチスパムは大量に送られてくる迷惑メールを別フォルダに隔離するものですが、この機能を利用して、フィッシング詐欺として送られてくるメールも同様に隔離できるのです。

参考：［UTMの機能⑤］増え続けるスパムメールへの対策「アンチスパム」

出口対策としてはWebフィルタリングが有効です。フィッシング詐欺サイトとして怪しいとされているサイトをリスト化し、社員が閲覧しようとした場合にアクセスをブロックします。
Webフィルタリングはフィッシング詐欺対策にもなりますし、水飲み場型攻撃にも有効です。水飲み場型攻撃は、社員等がアクセスするサイトにウィルスをしのばせて、感染させる手口です。Webフィルタリングで業務に関係のないサイト閲覧を完全にアクセスできないようにすることも可能となります。

参考：［UTMの機能⑥］Webフィルタリングでウィルス感染やフィッシング詐欺から防御

UTMでまとめて対策

UTMはアンチスパムやWebフィルタリング等の機能を搭載しています。それぞれの機能ごとに装置やソフトウェアを購入し設定するよりも、UTMのほうが統一されたUIで設定することができます。
UTMはアンチスパムとWebフィルタリング以外にファイアウォール、IDS/IPS、アンチウィルスなどの機能を1台にまとめたセキュリティ対策です。
また、アプライアンス型ではなく、クラウド型にすることで、必要に応じて、順次機能を追加していくこともできます。また、人数が増えたり機能が増えることで、パフォーマンスに影響が出る場合は、ネットワーク帯域やセッション数などのリソースを増強しパフォーマンスを維持できます。