電話の向こう側の声は、次第に切迫した響きを帯びてきました。
「お客様、ご契約を解約するためには、お使いのパソコンにセキュリティ対策済みのフォームをダウンロードしていただく必要がありますので、よろしくお願いいたします。」 「それしか方法はありません。」
彼は、私が申し込んだ覚えのない「Geek Squad」の契約を解約できるように、私のパソコンへのリモートアクセスを許可するよう、私に説得しようとしていました。
彼はウルドゥー語でささやきながら、私が協力的ではないと、同僚に打ち明けました。
「お願いです」と彼は再び懇願しました。「返金手続きには、お客様の貴重な時間からわずか5分から 10 分ほどお時間をいただくだけです。」
ようやく電話を切った後、彼から折り返しの電話がかかってきました――なんと8回も続けて。
これは、典型的なハイブリッド型ボイスフィッシング（「ヴィッシング」）攻撃でした。 それは、メッセージの下部に記載された番号に電話をかけなければ、302.42 ドルが請求されそうだと主張するメールから始まりました。 もし私が無防備なユーザーだったとしたら、パソコンが乗っ取られ、クレジットカード情報が盗まれるという事態になっていたかもしれません。 もし私が大企業に勤めていたとしたら、その影響ははるかに深刻なものになっていたかもしれません。
PhishLabsが発表した最新の「 」四半期脅威レポート（ ）によると、このようなヴィッシング攻撃は2021 件から2022件へと 625％増加しました。 They are now the second most common “response-based” attack, trailing only the classic Nigerian Prince 419 scam. どちらの場合も、詐欺師たちはソーシャルエンジニアリングの手法を用い、心理的な操作によって被害者に機密情報を明かさせるよう仕向けています。
「音声フィッシングは、人が誰かと話しているときは警戒心を緩めがちであるため、より効果的になり得ます」と、企業向けにフィッシング対策トレーニングを提供する KnowBe4社のデータ駆動型防御エバンジェリスト、ロジャー・グライムズ氏は述べています。 「データ漏洩の成功事例のうち、 80％から 90％がソーシャルエンジニアリングによるものです。」
適応して勝利を収める
組織が「 」フィッシング攻撃の特徴的な兆候を見抜くようになってきたため、攻撃者も手口を変えています。 2021年の春、ランサムウェア集団「コンティ（Conti）」 は複数のグループ に分裂し、新たな戦略を取り入れ始めました。 「BazarCall」、 、あるいは「コールバック・フィッシング」として知られる新たな攻撃手法は、前述の手口に従ったものでした。具体的には、電話をかけさせるよう仕向けた偽のメールを送り、その後、リモートアクセスを要求するというものです。 偽のカスタマーサービス担当者が電話の相手と会話をしている間に、遠隔地の攻撃者がそのネットワークに侵入し、情報を盗み出したり、マルウェアを仕込んだりします。
「コールバック型フィッシングは、現在の脅威の状況を根本から一変させました。」高度なインテリジェンス・ソリューション
セキュリティ調査会社Advanced Intelligence Solutionsによると、「コールバックフィッシングは、現在の脅威の状況を根本から一変させた」とのことです。その標的となっているのは、多国籍の武器メーカー、大手ITソリューションプロバイダー、売上高数十億ドル規模のテクノロジー企業、そしてNBAチームなど、幅広い組織に及んでいます。 被害企業のほぼ 40％が、年間売上高10億ドルを超えています。
8月、シスコは、同社の従業員の一人の個人用Googleアカウントに対するフィッシング攻撃について、驚くほど詳細な説明を行いました。 その従業員がブラウザ内でパスワードの同期機能を有効にしていたため、攻撃者はそのユーザーのCiscoの認証情報にもアクセスできてしまいました。
[関連記事：ウクライナで相次ぐ仮想通貨フィッシング詐欺により、従業員が解雇される恐れ]
同報告書によると、攻撃者はその後、「さまざまな信頼できる組織を装い、被害者に、攻撃者が送信した の多要素認証（MFA） のプッシュ通知を受け入れるよう説得しようとする、一連の高度なボイスフィッシング攻撃を実行しました。」
結局、MFAの保護機能を突破しようとする試みは成功し、攻撃者は企業のVPNを通じてログインすることができました。 その後、ハッカーはリモートアクセスツールを仕込み、管理者権限を昇格させ、ネットワーク内を横方向に移動し、情報を盗み出しました。
その間ずっと、シスコのセキュリティチームは攻撃者を監視し、使用された手口を観察していました。 シスコによると、結局のところ、機密情報へのアクセスはなく、事業やサプライチェーンの運営に支障をきたすこともなかったとのことです。 攻撃者は同社から金銭を脅し取ろうとしましたが失敗し、その後、機密性のないファイルをいくつかダークウェブに公開しました。
無駄なトレーニングでしょうか？
The average phishing data breach cost companies $4.7 million in 2021, IBM reports. しかし、オスターマン・リサーチの調査によると、従業員の 86％が、毎月 30 分以下のセキュリティ意識向上トレーニング を受けているとのことです。 SANSの最近の報告書によると、セキュリティ意識啓発の専門家の4分の3は、実際にセキュリティ意識啓発の指導に費やす時間が勤務時間の半分未満であるとのことです。.
「KnowBe4’s 」フィッシング対策研修では、従業員にの模擬フィッシングメールを送信し、メール内のリンクを常にクリックしてしまう人（最大 33％）を特定した上で、次回は騙されないようにするための方法を指導します。
[関連記事：なぜ従業員はサイバーセキュリティポリシーに違反するのか]
残念ながら、グライムズ氏は次のように指摘しています。大手通信事業者は、 KnowBe4 のような企業が従業員の許可なく無断で音声通話を行うことを認めていないのです。 ですから、フィッシング詐欺対策の研修も、同じ方法では実施できません。 （フィッシング電話がかかってくることをあらかじめ知っていては、その意味が半減してしまいます。）
時折障壁はあるものの、フィッシングやヴィッシング、あるいは のスマッシング （SMS攻撃）に対抗する上で、教育は依然として最も効果的な手段である、と彼は述べています。
「『予期せぬ内容である』かつ『その特定の送信者に対して、普段とは異なる行動を求める』という2つの特徴を備えたメッセージに対しては、誰もが健全な懐疑心を持つよう指導しなければなりません」とグライムズ氏は述べています。 「（差出人から）何かを求められた場合は、そのメッセージが本物であることを必ず確認してから、行動を起こしてください。」
大所帯が必要です
サイバーセキュリティ・リスク管理サービスを提供する「 Inversion6」の最高技術責任者（CTO）であるクリストファー・プリウィット氏は、自社が最も脆弱である可能性のある分野に注目することも有効だと述べています。
「多くの企業は、ビジネスにとって最も重要なプロセスを考慮せずに、あらゆるものを均等に保護しようとしています」と彼は言います。 「組織内では、資金はどのように動いているのでしょうか？」 誰がそれを利用できるのでしょうか？ 電信送金はどのように処理されていますか？ If you’ve got $300 million in the company treasury, maybe you need to set up a staging account to pay your bills, so you only lose a limited amount of money if someone gets scammed.”
A lot of this is Security 101, he adds. アクセス権限を制限し、異常な動作を特定し、ネットワークの中で最も機密性の高い部分をセグメント化し、ゼロトラストの枠組みを導入することは、いずれも攻撃が成功した場合の被害を最小限に抑えるのに役立ちます。 しかし、絶え間ない警戒に代わるものなど何一つありません。
「 8,000 人の従業員の後ろに立って、何をクリックしてはいけないか指示するなんて、私にはできません」とプレウィット氏は述べています。 「常に警戒を怠ってはならないということを理解している人々の集団が必要であり、その人たちと協力関係を築いていきたいと考えています。」
