フィッシング (Phishing)

信頼できる機関を装い、個人情報・金融情報を窃取するソーシャルエンジニアリング型サイバー攻撃

フィッシング (Phishing)

概要

フィッシング(Phishing)は、信頼できる機関や個人を装い、メール・SMS・電話・偽のウェブサイトなどを通じてユーザーの個人情報、金融情報、ログイン資格情報を窃取するソーシャルエンジニアリング型のサイバー攻撃である。「fishing(釣り)」と「phreaking(電話通信のハッキング)」の合成語であり、餌を投げて被害者自らが情報を差し出すよう誘導するという意味が込められている。技術的な脆弱性ではなく、人間の心理的な隙(信頼、恐怖、緊急性、好奇心)を狙うため、ファイアウォールやアンチウイルスソフトだけでは完全な遮断が難しく、組織のセキュリティインシデントの相当数がフィッシングから始まる。

主な内容

語源と歴史

「フィッシング」という用語は、1996年頃にアメリカのオンラインサービスであるアメリカ・オンライン(AOL)の利用者アカウントを窃取していたハッカー集団によって初めて登場したとされる。初期にはAOLを装ったメールでアカウント情報を抜き取る単純な手口であったが、2000年代に金融業界のオンラインバンキングが普及するにつれ、銀行を装ったフィッシングが急増した。その後、攻撃対象は個人から企業・政府機関へと拡大し、手口も大量無作為送信から標的型の精密攻撃へと進化した。

動作原理

典型的なフィッシング攻撃は次の段階で進む。第一に、攻撃者は被害者が信頼する対象(銀行、宅配業者、政府機関、取引先の役員など)を選定する。第二に、実際とほぼ同一のメールアドレス・送信元番号・ウェブページを偽造する。第三に、「アカウントが停止されました」「決済失敗」「宅配の住所エラー」など緊急性を煽るメッセージで、即時のクリック・入力・送金を誘導する。第四に、被害者が入力したID・パスワード・カード番号・認証番号が攻撃者のサーバーへ送信される。最後に、窃取した情報でアカウントの乗っ取り、不正決済、二次攻撃(ランサムウェアの拡散など)を実行する。

主な類型

メールフィッシング: 最も伝統的な形態で、大量送信または特定組織の構成員を狙ったスピアフィッシング(Spear Phishing)に分けられる。
ホエーリング(Whaling): CEO・役員など高位の経営陣を標的にし、高額送金や機密文書を抜き取る攻撃である。
スミッシング(Smishing): ショートメッセージ(SMS)に悪意あるリンクを添付する方式で、韓国国内で最も頻繁に発生する類型の一つである。
ビッシング(Vishing): ボイスフィッシングとも呼ばれ、電話で機関・銀行の職員を装い、送金や認証番号を要求する。
ファーミング(Pharming): DNSやhostsファイルを改ざんし、正常なアドレスを入力しても偽サイトへ接続させる手口である。
クローンフィッシング(Clone Phishing): 実際に受信した正常なメールを複製し、添付ファイルやリンクのみを悪意あるものに差し替えて再送信する。
クッシング(Qshing): QRコードとフィッシングを組み合わせた形態で、決済・駐車・電子出入記録などを装い、悪意あるアプリのインストールを誘導する。
中間者攻撃(MITM): 偽のログインページと実際のサービスとの間でセッションを奪い、二段階認証まで回避する。

被害規模と影響

フィッシングは個人には金銭的損失、アカウントの乗っ取り、二次的な本人詐称をもたらし、企業には営業秘密の流出、ランサムウェア感染、サプライチェーンの麻痺、莫大な復旧費用と評判の損失をもたらす。特にBEC(Business Email Compromise、ビジネスメール詐欺)は、単一のインシデントで数億ウォン台の送金被害を発生させ、国際的なセキュリティ業界が最も警戒する脅威の一つに数えられている。

検知と対応

組織レベルでは、メールゲートウェイによるスパム・悪意あるリンクのフィルタリング、DMARC/SPF/DKIMなど送信ドメイン認証、多要素認証(MFA)の導入、リンククリック時のサンドボックス検査、役職員を対象とした定期的な模擬訓練が効果的である。個人レベルでは、送信元アドレスとドメインの綴りを確認し、緊急を求めるメッセージほど公式の代表番号で再確認し、出所が不明なリンク・添付ファイルを開かず、アカウントごとに異なるパスワードと認証アプリベースの二段階認証を使用することが鍵である。被害を認識した直ちに、パスワード変更、カード停止、金融機関への届け出、警察(112)および韓国インターネット振興院(118)への届け出を進めることで、被害の拡大を減らすことができる。

フィッシング (Phishing)