１．フィッシング詐欺の種類
・ブランドフィッシング
実在企業になりすまし、機密情報を盗む
攻撃者がユーザー名、パスワード、住所、等の機密情報を盗むため
実在する企業の一員になりすます
・CEO詐欺
CEOを装い、従業員に送金を強要
攻撃者が会社のCEOになりすまし、従業員に圧力をかけて
攻撃者の銀行口座に送金させたり、機密情報を提供させたりする
・ホエーリング
企業内役員をターゲットにした詐欺
攻撃者が企業内の役員をターゲットにし、
気づかないうちに資金を送金したり、
ログイン認証情報を提供しシステムへのアクセス許可を説得する
・マルウェアを使ったフィッシング
不審な添付ファイルからマルウェアをダウンロード
不審な添付ファイルやダウンロード可能なファイルは、
マルウェアを使ったフィッシングのサイン
悪意のあるコンテンツをクリックすると、
マルウェアがダウンロードされる
・スミッシング
テキストメッセージを利用したフィッシング
テキストメッセージを使った攻撃は
セールや割引、銀行に関連する悪意のあるリンクをクリックさせる
リンクがクリックされると、
悪意のあるコードがダウンロードされたり、
個人情報を要求するページが表示されたりする
・ドメインスプーフィング
正規ブランドのドメインを偽装
攻撃者が正規ブランドのドメインになりすまし、
ユーザーを騙して不正な買い物をさせる
ブランドに対する消費者の信頼を失いかねないという点と、
標的とされた個人が個人的な損失を被る
・Wi-Fiホットスポット侵害
偽のWi-Fiを利用して情報を盗む
攻撃者が偽のWi-Fiホットスポットを悪用し、
使用者が意図せず、攻撃者にデバイスへのアクセスを許可する
・ビッシング
電話を使った詐欺
大手ブランドになりすまし、偽の「カスタマーサービス」担当者が、
技術的な問題に対する解決策を提供するふりをして、
マルウェアをダウンロードさせる
２．防御策
・スパムのブロック
スパムフィルターを強化し、悪意のあるメッセージを防ぐ
スパムのメッセージが受信トレイに届かないように
スパムフィルターは常に稼働させる
スパムを阻止するための特効薬はないが、
既知の配信パターンと新たな配信パターンを分析し、
最新の脅威をブロックできるアンチスパム技術を適用する
・セキュリティポリシー
承認プロセスを分散化し、BEC詐欺を防止
ビジネスメール詐欺（BEC）はサイバー攻撃者がよく使う手口で、
企業の最高経営責任者（CEO）、
最高財務責任者（CFO）、
最高技術責任者（CTO）、
その他の信頼できる個人へのなりすましが行われる
BEC詐欺師は上級役職者になりすますと、
従業員に対し送金や請求内容の変更など、
いかにも信憑性の高い依頼をする
ビジネスの承認プロセスを分散化することで、
BEC詐欺を回避する
・パスワードポリシーの見直し
強力なパスワードを推奨し、再利用を防ぐ
攻撃者はユーザーの認証情報を狙う
ユーザーは専用アカウントでパスワードを再利用することが多い
盗まれたパスワードは、他のアカウントへのアクセスに利用され
データが奪われてしまう可能性がある
業務で用いるパスワードにはある程度の桁数にする
チーム内でパスワードを共有しない
・認証システム
特定のIPアドレスや国からのアクセスを制限
特定のIPアドレス、国や、デバイスを除外する認証システムを設定する
・エンドポイントセキュリティ
メールをスキャンし、マルウェアを検出
・リアルタイム通知
セキュリティ通知をリアルタイムで受け取る
ツールの導入を検討する
瞬時にフィードバックが得られれば、
セキュリティ管理者だけではなく
個々のユーザーの日々の脅威対策の最適化を促進する
・デバイスの保護
携帯端末も含めたセキュリティ対策の実施
携帯端末はサイバーセキュリティの観点から見落とされがち
個人が所有する携帯端末も保護できるようにする
・メールセキュリティ
悪意のあるメールを検出し、隔離する
既存のセキュリティ・ソリューションに簡単に組み込むことができる
悪意のあるメールが受信トレイに届くのを防ぐ
疑わしいURLや悪意のあるコンテンツを隔離する
・従業員の警戒心
従業員の存在は最大の防御にも、最大の弱点にもなり得る
個人の環境において知識とツールを備えていることを確認する
定期的にセキュリティ意識向上研修や説明会を開催する
エンドユーザーに関連性があり、動的で興味深い内容にする