フィッシングと標的型攻撃

なぜ「人」が狙われるのか

システムの守りが固くなるほど、攻撃者は『人』も狙います。フィッシングは、本物そっくりのメールやサイトで、あなた自身にパスワードを入力させる手口です。特定の会社や担当者だけを狙い、実在の取引を織り込む『標的型攻撃』は、さらに見破りにくくなっています。

本物の画面なのに、他人の端末へ許可？

デバイスコード認証は、入力しにくい端末の操作を、別の端末で承認する仕組みです。会議用端末などで便利に使えますが、自分が始めていない要求を承認すると、他人の端末へ許可が渡るおそれがあります。

本物の画面なら、承認してよい？

メールの案内から正規のログイン画面が開くと、安心してしまいがちです。しかし、前のページの例では、相手が始めた端末のログインを自分が承認しています。確認すべきなのは画面の本物らしさに加えて、「自分が始めた操作か」「目的と許可先が合っているか」です。

HTTPSは接続先ドメインの確認と通信の保護を行いますが、用件の正当性までは保証しません。偽サイトも自分のドメインでHTTPSを使えます。重要な用件は正規のドメインを確かめ、普段使う公式アプリやブックマークから確認します。不明なら操作を止めて社内窓口へ連絡します。

開いてしまったら、早く伝える

リンクを開いた後で不審だと気付いても、報告をためらう必要はありません。開いただけなのか、情報を入力したのか、認証を承認したのかで、調べる範囲が変わります。起きたことを早く伝えるほど、対応を始めやすくなります。

1. 1

   操作を止める

   追加の入力や承認をせず、表示された画面や時刻を控えます。

2. 2

   社内窓口に事実を伝える

   開いたリンク、入力した情報の種類、承認の有無を伝えます。パスワードやコードの値そのものは報告文に書きません。

3. 3

   案内に沿って対処する

   資格情報やセッションの失効・変更など、状況に応じた対応を行います。

実例・参考資料を読む

押さえておきたい用語

フィッシング

本物を装った案内で人をだまし、情報の入力や、意図しないログイン・認可の操作をさせる手口。正規の認証画面へ誘導する場合もある。

標的型攻撃

特定の会社や担当者だけを狙う攻撃。実在の取引や名前を文面に織り込むため、より見破りにくい。

ドメイン（ホスト名の確認）

URLのホスト名等に使う名前。正規の名前との比較は手がかりになるが、詐称・乗っ取りもあり、本物の証明にはならない。

この用語の解説を読む

なりすまし

本物の会社・人物をよそおうこと。表示名やロゴは簡単にまねできるので、見た目だけで信用しない。

正しい経路で確認

メール内のリンクではなく、ブックマーク・公式アプリ・登録済みの電話番号など、自分が知る安全な道で確かめること。