メールを欺くフィッシングメッセージの種類

その蔓延と世界的な影響という点で、フィッシングに匹敵するサイバー犯罪はほとんどありません。 これは、ユーザーの認証データを取得したり、組織に金銭を請求したり、危険な電子メールを介してコンピューター ウイルスを拡散したりすることを目的とした悪意のあるキャンペーンの中心的存在です。

セキュリティ アナリストの最近の調査結果は、全体像を示しています。 2020 年の第 1 四半期には、165,772 を超える新しいフィッシング サイトが発見されました。FBI は、ビジネス メール詐欺 (BEC) は、企業に焦点を当てたエスカレートするタイプのフィッシングであると述べています。 これにより、企業は不正な電信送金で年間約 50 億ドルを失っています。

サイバー犯罪者はそのジャンルを拡大しています

これらの気が遠くなるような統計は、惨劇の広さと深さを示しています。 当然のことながら、多数のセキュリティ会社や電子メール プロバイダーが、詐欺メッセージがユーザーの受信トレイに届かないようにするソリューションを提供しています。 ますます効果的な防御策により、フィッシング キャンペーンのオペレーターは、従来のフィルターを回避するための新しい方法を首謀するようになります。

電子メール フィルターをバイパスすることは、詐欺師にとって、受信者の良心に正しい文字列を引っ張るような悪意のあるメッセージを仕立てることと同じくらい重要になっています。 以下の手法は最近、フィッシング オペレーターのレパートリーを強化したため、主流の対策にもかかわらず、電子メールが危険信号を発して目的地に到達することはありません。

あなたにおすすめ:サイバーセキュリティにおける人工知能 (AI) の役割は何ですか?

Google クラウド サービスを介して収集された Office 365 資格情報

サイバー犯罪者は、人気のあるクラウド サービスでおとりファイルやフィッシング ページをホストすることが増えています。 この戦術は、詐欺に信頼性と難読化のレイヤーを追加するため、セキュリティを重視するユーザーや保護システムが詐欺を検出することは非常に困難です.

サイバー セキュリティ企業 Check Point の研究者によって最近発見されたキャンペーンは、この種の詐欺がいかに回避できるかを示しています。 そのルアー要素は、Google ドライブにアップロードされた PDF ドキュメントです。 この共有ファイルには、重要なビジネス情報が含まれていると主張されています。 ただし、それを表示するには、被害者は [ドキュメントにアクセス] ボタンをクリックする必要があります。これにより、Office 365 認証の詳細または組織 ID を求めるサインイン ページが表示されます。 どのオプションを選択しても、ユーザーの Outlook ログイン情報を要求するポップアップ画面が表示されます。

電子メール アドレスとパスワードを入力するとすぐに、被害者は最終的に PDF ファイルを表示できます。 これは、有名なコンサルティング会社が 2020 年に発行した正当なマーケティング レポートです。さらに、この攻撃のさまざまな段階で表示されるページは Google Cloud Storage でホストされているため、明らかに悪いことが行われていることを示唆する手がかりはほとんどありません。 .

一方、この戦略の表向きの正当性によって隠されている深刻な落とし穴は、詐欺師が途中で被害者の有効な Office 365 資格情報を取得することです。 この情報が悪用されると、効果的な BEC 詐欺、産業スパイ、およびマルウェアの拡散の出発点になる可能性があります。

信頼できる銀行を装った誤解を招く電子メール

最近の動きとして、詐欺師は、Citigroup や Bank of America などの人気のある金融機関になりすました偽のメッセージを作成しています。 電子メールは、銀行の Web サイトのレプリカにつながるハイパーリンクをクリックして、電子メール アドレスの詳細を更新するようにユーザーに指示します。 でっち上げを本物そっくりに見せるために、重罪犯は追加のページを使用して、受信者のセキュリティ チャレンジの質問を要求します。

不利な矛盾の 1 つは、電子メールが @yahoo.com アドレスから送信されているにもかかわらず、ほとんどのフィルターのレーダーをすり抜けてしまうことです。 その理由は、攻撃者が社内の少数の従業員のみを標的にしているからです。 一般的なアンチ フィッシング ソリューションは、多数の類似または同一のメッセージに合わせて調整されているため、いくつかの疑わしいメールを見逃す可能性があります。

もう 1 つの問題は、メッセージが個人の電子メール アカウントから発信されていることです。 Domain-based Message Authentication, Reporting & Conformance (DMARC) や Sender Policy Framework (SPF) などの従来の検証ツールは、送信元ドメインを偽装する電子メールのみを識別するため、この事実が検出を妨げます。

さらに、銀行の公式 Web サイトを模倣したクレデンシャル フィッシング ページは、すべてのチェックを見事にパスします。 これは、最近登録されたため、まだブラックリストに登録されていないためです。 また、有効な SSL 証明書を使用します。 フィッシング リンクは、正規の Yahoo 検索サービスを使用してユーザーをリダイレクトします。 これらすべての癖と、テキストに課せられたかなりのプレッシャーが相まって、このキャンペーンの成功率を高めています。

添付ファイルを解凍して感染する

一部の攻撃者は、不正なアーカイブに有害な添付ファイルを隠して検出を妨害します。 通常、ZIP ファイルには「End of Central Directory」(EOCD) パラメータが 1 つあります。 アーカイブ構造の最後の要素を指します。 サイバー犯罪者が行うことは、追加の EOCD 値を内部に持つ ZIP オブジェクトを使用することです。 これは、難読化されたアーカイブ ツリーがファイルに含まれていることを意味します。

Secure Email Gateway (SEG) を構成する解凍ツールによって処理されると、ZIP 添付ファイルは無害であるように見えます。 この策略の結果、抽出されたファイルは受信者のマシンでバンキング型トロイの木馬を密かに実行します。

ロストイントランスレーション

もう 1 つのよくある手口は、外国語のテキストを埋め込んでメール フィルタをだますことです。 一部の防御は、着信メッセージをスキャンして、英語またはユーザーの母国語のみの疑わしい内容をスキャンするように構成されています。

それを念頭に置いて、詐欺師はロシア語でフィッシング メールを作成し、「Google 翻訳を使用してください」というヒントを含める可能性があります。 その結果、メッセージは受信トレイに届き、被害者は翻訳されたテキストを読んだ後に夢中になる可能性があります。

あなたは好きかもしれません:悪くないサイバーセキュリティポリシーを書くための17のクールなヒント.

メールの HTML コードを変更する

フィッシング メッセージが保護システムをすり抜けてしまうもう 1 つの方法は、HTML コード内のテキスト文字列を逆にしてから、情報を転送して、受信者には完全に正常に見えるようにすることです。 偽装されたソース コードの内容は既知のフィッシング テンプレートと重複していないため、SEG はメッセージを無視する可能性が高くなります。

この手法の非常に陰湿な模造品は、Cascading Style Sheets (CSS) を中心に展開しています。これは、Web ドキュメントをフォントのサイズと色、背景色、間隔などのスタイル コンポーネントで補完するために使用されるツールです。 不正行為は、生の HTML コードでラテン語とアラビア語のスクリプトをマージするために CSS を誤って処理したことに帰着します。 これらのスクリプトは反対方向に流れるため、詐欺師は上記のテキスト反転効果を簡単に実現できます。 その結果、メッセージは人間が判読できるままでありながら、防御をだますことができます。

ハッキングされた SharePoint アカウントの悪用

一部のフィッシング ギャングは、侵害された SharePoint アカウントを利用して、詐欺を仕掛けています。 悪意のある論理は、SEG が Microsoft の評判の良いコラボレーション プラットフォームに関連付けられたドメインを信頼しているという事実にかかっています。 電子メール本文のリンクは、SharePoint サイトにつながります。 そのため、セキュリティ システムはそれを無害なものとして扱い、メッセージを無視します。

問題は、犯罪者がランディング ページを別の目的で使用して、危険な OneNote ドキュメントを表示することです。 これにより、OneDrive for Business のログイン フォームに偽装された資格情報フィッシング ページにリダイレクトされます。 疑いを持たないユーザーが入力した認証の詳細は、即座に詐欺師のサーバーに送信されます。

フィッシングに対する意識を高めて安全を確保する

メールフィルターは間違いなく価値があります。 彼らはあなたの受信トレイに投げ込まれた大ざっぱなメッセージの大部分を洗い流します. ただし、上記の実際の攻撃から学ぶべき教訓は、これらのシステムに無条件に依存することは危険なビジネスであるということです。

「下調べを行い、いくつかの追加のヒントに従って、個人のフィッシング対策の衛生状態を改善する必要があります。」 – VPNBrains のシニア テクノロジー スペシャリスト、共同設立者、研究責任者である Andrew Gitt が最近のインタビューで述べた.

アンドリューはまた、インタビューで次の推奨事項を提供しています。

• メールに届いたリンクをクリックしないでください。
• 見知らぬ人から受け取った添付ファイルを開かないでください。
• サインイン ページでユーザー名とパスワードを入力する前に、それが HTTPS か HTTP かを確認してください。
• 電子メールが正当に見え、危険を冒して埋め込まれたリンクをクリックすることにした場合は、最初にタイプミスやその他のプレゼントがないか URL を確認してください。
• 受信メールを注意深く読み、スペル、文法、句読点の誤りがないかテキストをチェックします。 このような間違いに気付いた場合、そのメッセージはおそらく詐欺です。
• 何かをするように圧力をかけるメールは無視して破棄してください。 たとえば、フィッシング詐欺師はしばしば、ある種の締め切りを課して人々を惑わせます。 そのようなトリックに陥らないでください。
• 日常業務から逸脱した内容のメールにご注意ください。
• 上級管理者から電信送金を要求するメッセージを受け取った場合は、電話または直接その人物に連絡して再確認してください。 同僚の電子メール アカウントを乗っ取った詐欺師と取引している可能性があります。
• ソーシャル ネットワークで共有する情報に注意してください。 悪意のある攻撃者は、オープンソース インテリジェンス (OSINT) の実行に長けているため、一般に公開されている個人データを利用者に逆らう可能性があります。
• あなたが幹部である場合は、従業員向けのフィッシング認識トレーニングプログラムを必ず設定してください。
• ファイアウォールを有効にし、オンボードのフィッシング対策機能を備えた効果的なオンライン セキュリティ ソフトウェアをインストールします。

あなたも好きかもしれません:サイバー攻撃、追跡、およびマルウェアから PC を保護する方法?

最後の言葉

ホワイト ハットが新しい防止メカニズムを思い付くたびに、サイバー犯罪者は彼らの裏をかくために最善を尽くします。 この点に関して、非常に有望な新しいセキュリティ トレンドは、人工知能と機械学習を使用してフィッシングの試みを識別することです。 うまくいけば、このアプローチにより、防御がどれほど洗練されていても、攻撃ベクトルの一歩先を行くことができます。

今のところ、あなたができる最善のことは、警戒を怠らず、ほとんどの場合に驚異的に機能する従来のフィッシング対策ツールを最大限に活用することです.