取引先や上司からの指示を装ったメールで、送金や情報の入力を求められる被害がニュースで報じられることがあります。
こうした攻撃には「スピアフィッシング」という名前が付いていますが、普通のフィッシングや標的型攻撃と何が違うのか、よく分からないという方も多いのではないでしょうか。
一言でいえば、スピアフィッシングとは、特定の個人や組織を狙い、信頼できる相手を装って情報や金銭をだまし取るサイバー攻撃の手法です。
この記事では、スピアフィッシングの意味や仕組み、フィッシング・標的型攻撃との違いについてわかりやすく解説します。
スピアフィッシングとは
スピアフィッシングとは、特定の個人や組織を狙い撃ちにして、情報や金銭をだまし取るサイバー攻撃の手法です。
不特定多数にばらまく通常のフィッシングと異なり、標的の立場や業務内容を調べ上げたうえで仕掛けられます。
送信元や文面が本物に近く作り込まれているため、受信者が偽物だと気づきにくい点が大きな特徴です。
狙われるのは、企業の経営者や経理担当者、人事担当者など、権限や機密情報を持つ人物が中心です。
スピアフィッシングの由来
英語の「スピア(spear)」は槍を意味し、「フィッシング(phishing)」は釣りをもじった言葉です。
広い範囲に網や釣り糸を投げる一般的なフィッシングに対し、槍で一点を突くように標的を絞る攻撃であることから、この名前が付けられたとされています。
名前の通り、無差別ではなく的を定めて仕掛ける点が、この攻撃を理解するうえでの出発点になります。
スピアフィッシングの仕組み
攻撃者はまず、標的となる人物や組織についての情報を集めます。
会社の公式サイトやSNSの投稿、過去に流出した名簿などから、氏名・役職・取引先・業務の進め方を調べます。
得た情報をもとに、上司や取引先、よく使うサービスを装った偽のメールやサイトを作成します。
偽メールには不正なリンクや添付ファイルが仕込まれており、開くと偽のログイン画面に誘導されたり、マルウェアに感染したりします。
入力した認証情報や社内の機密情報が攻撃者の手に渡り、不正アクセスや金銭的な被害につながります。
スピアフィッシングの典型的な手口の例
- 社長や上司を名乗り、経理担当者に至急の振込を指示するメールを送る
- 取引先の担当者になりすまし、請求書の送金先変更を連絡する
- 社内システムの管理者を装い、パスワードの再設定を求める偽サイトへ誘導する
- 人事や総務を名乗り、健康診断の結果や給与明細を装った添付ファイルを送る
スピアフィッシングの種類
スピアフィッシングには、狙う相手や手口によっていくつかの呼び方があります。
企業の経営幹部など、特に地位の高い人物を狙うものは「ホエーリング」と呼ばれます。
経営者や取引先を装って金銭の送金を指示する手口は「BEC(ビジネスメール詐欺)」と呼ばれ、スピアフィッシングの一種として位置づけられます。
いずれも、標的を絞り込んだうえで信頼を装うという基本の考え方は共通しています。
スピアフィッシングとフィッシングの違い
| 観点 | スピアフィッシング | フィッシング |
|---|---|---|
| 狙う相手 | 特定の個人や組織 | 不特定多数 |
| 事前の調査 | 氏名や業務内容まで調べる | ほとんど行わない |
| 文面の精度 | 本物に近く個別化されている | 定型的で汎用的な内容 |
| 見分けやすさ | 気づきにくい | 比較的気づきやすい |
スピアフィッシングは、フィッシングという大きな枠組みの中に含まれる、より標的を絞った手法だと理解すると分かりやすいです。
スピアフィッシングと標的型攻撃の違い
標的型攻撃とは、特定の組織や個人を狙い、情報を探り続けるサイバー攻撃全体を指す言葉です。
スピアフィッシングは、その標的型攻撃の中で使われる手口の一つで、主に偽のメールを入り口として利用します。
標的型攻撃では、メール以外にもウェブサイトの改ざんや不正アクセスなど、様々な手段が組み合わされることがあります。
つまりスピアフィッシングは、標的型攻撃を実行するための入口の役割を担う手法だと位置づけられます。
スピアフィッシングが問題になる場面
企業の経理担当者が偽の社長からの指示を信じ、取引先とは異なる口座に送金してしまうケースが代表的です。
取引先を装ったメールで請求書の送金先を変更するよう連絡が来て、気づかずに応じてしまう例も報告されています。
個人に対しても、よく利用する通販サイトや銀行を装ったメールで、ログイン情報を入力させる手口が使われます。
スピアフィッシングを見分けるポイント
- 送信元のメールアドレスが、正規のものと微妙に異なっていないか確認する
- 普段と違う言い回しや、不自然に急かす文面になっていないか注意する
- リンク先のURLが、正規のサイトのものと一致しているか確認する
- 心当たりのない添付ファイルやリンクは、開く前に別の手段で本人に確認する
スピアフィッシングへの対策
送信元のアドレスや文面を確認する習慣を、組織全体で徹底することが基本になります。
パスワードだけに頼らず、多要素認証を導入することで、情報が流出した場合の被害を抑えやすくなります。
金額の大きな送金や送金先の変更については、メール以外の手段でも本人確認を行う仕組みを設けることが有効です。
定期的な研修や、実際のメールを使った訓練を行うことで、社員の気づく力を高めることも重要です。
スピアフィッシングに関するよくある誤解
「有名企業や大企業しか狙われない」というのは誤解で、中小企業や個人も標的になります。
「英語の文面だから分かりやすい」とも限らず、日本語で自然な文面に仕上げられた事例も見られます。
「セキュリティソフトを入れていれば安心」というわけでもなく、最後の判断は人に委ねられる場面が多くあります。
まとめ
スピアフィッシングとは、特定の個人や組織を狙い、信頼できる相手を装って情報や金銭をだまし取る攻撃手法です。
不特定多数に送る一般的なフィッシングとは異なり、事前の調査に基づいた精度の高い偽装が行われる点が特徴です。
標的型攻撃という大きな枠組みの中で、メールを入口として使う代表的な手口の一つとも言えます。
送信元や文面を確認する習慣、多要素認証の導入、組織での教育といった対策を積み重ねることが、被害を防ぐ手がかりになります。
コメント