スピアフィッシングとは？手口と対策方法

スピアフィッシングとは、不特定多数ではなく、特定の個人、チーム、企業を狙うフィッシング攻撃です。攻撃者は汎用的なメールを何百万通もばらまく代わりに、一人の標的を調べ上げます。そして名前、役職、取引先、最近の行動などを盛り込み、すでに信頼している相手から届いたように見えるメールを作ります。この精度こそが危険な理由です。

典型的な例を挙げます。CFOを名乗るメールが届き、実在のプロジェクトに触れながら、送金の承認や資料の共有を求めてきます。急ぎで、具体的で、そして罠です。

通常のフィッシングとの違い

通常のフィッシングは数で勝負します。同じ文面を大量のリストに送り、ごく一部が引っかかるのを待ちます。スピアフィッシングは発想が逆です。

• 対象：フィッシングは全員を狙い、スピアフィッシングは特定の一人や役職を狙います。
• 個別化：フィッシングは「お客様各位」のような汎用文面で、スピアフィッシングは実在の人物、案件、状況に触れます。
• 狙い：フィッシングの多くはパスワード狙いです。スピアフィッシングは送金詐欺、横展開のための認証情報の窃取、ビジネスメール詐欺を狙うことが多くあります。
• 検知：大量送信の文面はスパムフィルタで捕まりやすい一方、よく調べたスピアフィッシングメールは正規に見えるため、すり抜けることがあります。

ホエーリングは、経営幹部に特化したスピアフィッシングです。一通が成功するだけで、多額の支払いが承認されかねません。

スピアフィッシングの手口

スピアフィッシングは、計算された手順で進みます。

• 偵察：攻撃者はLinkedIn、企業サイト、プレスリリース、SNS、過去の漏えい情報から、誰が誰の部下か、どうやり取りしているかを調べます。
• 餌づくり：調べた内容をもとに、正規に見えるメールを作ります。同僚、取引先、利用中のサービスを装うことが多く、送信元ドメインそのものをなりすますことも、一文字だけ違う類似ドメインを使うこともあります。
• 仕掛け：メールには行動を促す要素があります。リンクのクリック、添付ファイルの開封、支払いの承認、認証情報のリセットなどです。
• 実害：標的が応じると、攻撃者は送金させたり、認証情報を盗んだり、マルウェアを仕込んでアクセスを広げたりします。

狙いすました一通のために、数日かけて準備することもあります。