フィッシング (詐欺)

不特定多数型（一般的なフィッシング）

特定のターゲットを定めず、無差別に大量のメール（スパム）を広範囲に送りつける攻撃。ECサイト、宅配業者、公共サービス、金融機関、動画配信サービス、携帯キャリアなどが騙られることが多く^[7]、メールの内容は、緊急性や重要性をアピールする文面が使われることが多い（例：「アカウントがロックされました」「不在通知」「当選のお知らせ」）^[13]。攻撃者は、電子メールやSMSなどを利用し、リストにある大量の宛先に一斉送信する。

スピアフィッシング

フィッシングのうち、特定の個人、団体を標的としたものをスピアフィッシング（spear phishing、魚突き）と呼ぶ^[14]。スピアフィッシングでは、特定の個人や組織を標的とし、本物であると信じ込ませるためにパーソナライズされたメッセージ（特に電子メール）を使用する^[15] 。成功率を高めるために、標的対象の個人情報や公開情報を収集（OSINT）し、利用することが多い^{[16][17][18][19]}。 さらに、特定のリンクを誘導する方法や、やり取りを数回行って信用させてから攻撃する手法が増えている^[14]。

これらの攻撃は、機密性の高い財務データやサービスにアクセスできる幹部や財務部門の担当者を標的とすることがよくある。会計事務所や監査法人は、従業員がアクセスできる情報の価値が高いため、特にスピアフィッシングに対して脆弱である^[20]。

ロシア政府が運営する脅威グループ4127（Fancy Bear、GRU 26165部隊）は、Hillary Clintonの2016年大統領選挙キャンペーンを標的に、1,800以上のGoogleアカウントに対してスピアフィッシング攻撃を行った。その際、 accounts-google.com ドメインを使用して標的ユーザーを脅迫した^[21][22]。

年齢層ごとのスピアフィッシングに対する感受性に関する研究では、21日間にわたる毎日のメールでの模擬フィッシングリンクに対し、18〜25歳の若者の43%、年配ユーザーの58%がクリックしたことが判明した。年配の女性が最も感受性が高く、若年層の感受性は研究期間中に低下したが、年配ユーザーの感受性は変わらなかった^[23]。

ホエーリング

スピアフィッシングの一種で、経営層、役員、政治家、有名人など、ビジネスにおける重要人物を標的とするものはホエーリング（whaling、捕鯨）、ホエールフィッシングと呼ばれる^[24]。近年ではディープフェイク音声が使われる事例がある^[25]。

ビジネスメール詐欺

ビジネスメール詐欺（英:Business Email Compromise、略:BEC）とは、フィッシィングの一種であり、企業の従業員や取引先を装って巧みな偽メールを送り、最終的に偽の口座に送金させるなどして金銭をだまし取る詐欺の手口である^[26]。 主に企業の財務部門や経営層、あるいは海外企業と取引を行う担当者が標的となり、ソーシャルエンジニアリングの手法を用いて心理的な隙を突くのが特徴である。スピアフィッシングと比較して、特定の組織を狙うという点では共通しているが、直接的に金銭の詐取するという目的と、メールの文章だけで騙すという手口が異なる。ビジネスメール詐欺では、単なるフィッシングメールとは異なり、事前の入念な調査（偵察）に基づいて行われる。犯罪者は標的企業の組織図や取引先との関係性、過去のメールのやり取りなどをあらかじめ調査し、本物のメールと見分けがつかないような偽のメールを作成する。事例としては、取引先との偽請求書を送りつける^[26]、偽の振込先口座の変更指示を依頼するメールを送りつける、などが挙げられる。ビジネスメール詐欺を防ぐためには、振込先口座の変更指示があった場合は二重に確認する、組織内での承認プロセスを厳格化し単独の判断での送金を防ぐ、定期的な従業員向けのセキュリティ教育や訓練を実施する、などが挙げられる^[26]。

電子メールフィッシング

フィッシング攻撃は、しばしばスパムメールを通じて行われ、個人を騙して機密情報やログイン認証情報を漏洩させようとする。攻撃の大部分は、特定の標的を定めずに大量のメールを広範囲に送りつける無差別攻撃である^[27] 。攻撃者の目的は様々だが、金融機関、電子メールおよびクラウド生産性プロバイダー、ストリーミングサービスなどが一般的な標的となる^[28] 。盗まれた情報やアクセス権は、金銭の窃取、マルウェアのインストール、あるいは標的組織内の他の人物へのスピアフィッシングなどに悪用される^[29]。侵害されたストリーミングサービスのアカウントは、ダークウェブ・マーケットで販売されることもある^[30]。

この種のソーシャル・エンジニアリング攻撃では、銀行や政府機関などの信頼できる情報源からのものであるように見せかけた詐欺メールやメッセージの送信が行われる。これらのメッセージは通常、偽のログインページへとユーザーを誘導し、そこで認証情報の入力を促す。

クローンフィッシング

過去に受信した正規のメール（注文確認メールや配送通知など）をそっくりそのままコピーし、その中に含まれるリンクや添付ファイルを悪意のあるものにすり替えて再送するクローンフィッシング（clone phishing）という手法がある^[31]。

二段階式フィッシング

二段階式フィッシングとは、1通目にわざと不審なメールを送り、それを見破って警戒した受信者に対して、2通目でシステム担当などを装った注意喚起や受信状況の調査を名目に偽サイトへ誘導する手法である^[32]。1通目が怪しいと気づいた人ほど、その後に届く2通目の不審メールへの対策を装った内容を信用してだまされやすくなる心理的な隙を突く特徴がある^[32]。

SMSフィッシング（スミッシング）

SMSフィッシング^[33]、またはスミッシング（smishing）^[34][35]は、携帯電話やスマートフォンのSMS（テキストメッセージ）を使用して囮となるメッセージを送信するフィッシング攻撃の一種である^[36] 。

攻撃者は被害者の携帯電話番号宛に、不在通知などを装ったSMSを送信する。被害者は通常、リンクをクリックするか、電話番号に電話するか、あるいは攻撃者が提供したメールアドレスに連絡するよう求められる。その後、他のウェブサイトのログイン認証情報などの個人情報を提供するよう促す。

多くのスマートフォンは高速なインターネット接続を備えており、URLの表示が制限されるため、スミッシングは電子メールフィッシングと同様に効果的である^[37]。スミッシングのメッセージは、見慣れない電話番号から届くこともある^[38]。

近年では、IMSIキャッチャーを利用したSMSブラスター攻撃という手法が増えている^[39]。IMSIキャッチャーを搭載した車で移動しながら、周辺のスマホを強制的に偽基地局（IMSIキャッチャー）に接続させ、宅配業者や金融機関、通信キャリアなどを装ったスパムSMSを送信するという手口である^[39]。

ビッシング

ビッシング（vishing）または、ボイスフィッシングは、自動音声（ロボコール）を利用して多数の人々に電話をかける。このとき、攻撃者はVoIPの仕組みを悪用し、発信元の電話番号を偽装（スプーフィング）することもある^[40]。被害者に対し、法的な脅迫や、PCサポート業者を装った内容を伝えることで、情報を入手するためにソーシャル・エンジニアリングを使用する攻撃者に接続される^[41]。その後、機密情報を詐取したり、マルウェアをインストールさせたりする。ビッシングは、電子メールフィッシングに比べて音声通話に対する一般の警戒心が低く、信頼性が高いという点を利用している^[42]。

クイッシング

クイッシング、またはQRコードフィッシングは、詐欺師はQRコードの利便性を悪用し、悪意のあるウェブサイトへのリンクが埋め込まれたコードをスキャンさせることで、ユーザーから機密データを騙し取る手法である^[43]。電子メールやウェブサイトを用いた従来のフィッシングとは異なり、QRコードを使用することで電子メールフィルターを回避し^[44][45]、 被害者が詐欺に引っかかる可能性を高めている。偽のコードは、電子メールやソーシャルメディアで送信されるほか、広告ポスターや駐車場の掲示物などの正当なQRコードの上に物理的なステッカーとして貼られることもある^[46][45] 。被害者が電話やデバイスでQRコードをスキャンすると、個人情報、ログイン認証情報、または財務詳細を盗むように設計された偽のウェブサイトにリダイレクトされる^[44]。

この手法は、人々がQRコードを信頼する傾向があり、URLやメールリンクほど注意深く精査しない傾向を利用している^[43]。電子マネーの決済、イベントのチェックイン、製品情報などでQRコードの使用が広まるにつれ、クイッシングはセキュリティ上の重大な懸念事項として浮上している。英国の国立サイバーセキュリティセンター（NCSC）は、このリスクを他の種類の誘引手法よりも低いと評価しているものの^[47] 、ユーザーは見慣れないQRコードをスキャンする際には注意を払い、信頼できるソースからのものであることを確認するよう助言されている。

検索エンジンフィッシング

検索エンジンフィッシングは、攻撃者がSEOポイズニングを行うことで、正規のサイトを装ったフィッシングサイトが検索で上位に表示されるように仕掛ける手口である^[48]。誘導したフィッシングサイトで、重要な個人情報の入力を促したり、マルウェアをダウンロードさせることで、情報を詐取する。銀行、送金サイト、ソーシャルメディア、ショッピングサイトなどが主な標的となる^[48]。

SNSのDM機能を用いたフィッシング

SNSが普及するに伴い、SNSのDM（ダイレクトメール）機能を用いたフィッシングが増加している。X、Instagram、LINEなどのダイレクトメッセージ（DM）や投稿を利用し、「この写真、あなたが写ってる？」等のメッセージを送り、偽のログイン画面へ誘導して個人情報を詐取する^[49]。このDMを利用したフィッシング詐欺を応用し、殺猪盤（国際ロマンス詐欺）と呼ばれる長期間かけて信頼関係を築きフィッシングサイトの一種へ誘導して巨額を詐取する手口が世界的な問題となっている^[50]。攻撃者が架空の投資を持ち掛けるケースも報告されている^[50]。攻撃者が乗っ取ったアカウントを利用するケースも多い^[51][49]。

AiTM攻撃

従来のフィッシング攻撃は通常、不正なウェブサイトに直接入力されたユーザー資格情報を取得することに限定されている。AiTM（Adversary-in-the-Middle）攻撃は、フィッシング攻撃を高度化することにより、単にID・パスワードを盗むだけでなく、ユーザーと正規サイトの間の通信に割り込み、認証済みのセッションCookieを盗み取ることが可能になっている。これにより、攻撃者は、多要素認証（MFA）を突破することが可能になっている。

AiTM攻撃では、フィッシングメールなどを送ることで、ユーザーを偽のログインページに誘導する^[52]。ユーザーが偽サイトでID・パスワードを入力すると、その情報は攻撃者のサイトを経由して本物のサービスに送信する^[53]。この時、攻撃者は通信の中間に割り込み（プロキシサーバーとして機能し）、ユーザーの認証情報と、MFA完了後に発行されるセッションCookieを盗み取る。これにより、通常は盗まれたデータを保存するフィッシングサイトを探すセキュリティシステムによる検出が困難になる^[52]。ログイントークンとセッションクッキーを即座に取得することで、攻撃者はアカウントに侵入し、セッションがアクティブである限り、実際のユーザーと同様にそれを使用できる。

AiTM攻撃では、元々はペネトレーションテストのためのオープンソースツールとして作成されたEvilginxが利用されることがある。Evilginxは仲介者として機能し、パスワードやログインコードを保存することなく、被害者と実際のウェブサイト間で情報を中継する。

ユーザーの操作に合わせて攻撃者が即座に認証を突破することから、リアルタイムフィッシングとも呼ばれる^[54]。

URLおよび表示の偽装

フィッシング攻撃には、正当な組織からのものであるかのように見せかけた偽のリンクの作成が含まれることがある^[55] 。ホモグラフ攻撃という、URLのホスト名の文字として、真正なサイトに酷似した、異なる文字（ = 見た目の形が紛らわしい文字）を用いて偽装する手法が利用されることがある。この例として http://www.exаmple.com/ があり、ここでの3文字目はラテン文字の「a」ではなく、キリル文字の「а」である。被害者がリンクをクリックした際、3文字目が実際にはキリル文字の「а」であることに気づいていない場合、悪意のあるサイト http://www.xn--exmple-4nf.com/ にリダイレクトされる。

同様の例として、リンクの表示テキストとリンク先を変えておくリンク偽装や、サブドメインを悪用し正規サイトに見せかける手法がある。いずれの場合も、リンク先を確認するために、多くの電子メールクライアントやウェブブラウザでは、マウスをリンクの上に置くとステータスバーにURLが表示される。しかし、一部のフィッシング詐欺師はこのセキュリティ対策を回避できる場合がある^[56]。

ファーミング

また、DNSキャッシュポイゾニングや、偽のWifiアクセスポイント（Evil Twin攻撃）を利用することで、正しいURLを入力しているのに偽のウェブサイトに誘導されてしまうファーミングという手法がある^[57]。また宅配便の不在通知を装った偽のSMSを送りつけ、マルウェアをダウンロードさせる手法もある^[12]。

クロスサイトスクリプティング

フィッシングにおいて、クロスサイトスクリプティング（XSS）は、正規のウェブサイトを侵害し、ユーザーを欺くための手段として悪用される。攻撃者は、MPackなどのエクスプロイトキットを正規のウェブサイトに埋め込み、そのサーバーを訪れたユーザーを悪意あるサイトへリダイレクトさせる「ページハイジャック」を行うことがある。この際、悪意あるインラインフレームを挿入することでエクスプロイトキットを読み込ませる手法がとられ、特定の企業などを標的とした水飲み場型攻撃と併用されることが多い^[58]。 また、XSSはWebサイトの模造にも用いられる。攻撃者は、ユーザーが信頼する正規サイトの脆弱性を攻撃し、JavaScriptや画像を利用してアドレスバーやコンテンツを偽装する。これにより、正規サイトと模造サイトがあたかも連携して動作しているかのように見せかけ、本物のサイトであると誤認させることが可能となる^[59]。このような攻撃を実行するためのツールとして、BeEF（Browser Exploitation Framework）などが存在する^[60]。

フィッシングキットとPhaaS

攻撃者は、フィッシングサイトの構築から被害者への誘導までを一括して行う「フィッシングキット」を利用することがある。フィッシングキットは、実在するウェブサイトを模した偽サイトのHTMLテンプレート、認証情報を収集するスクリプト、メール送信機能などを一式にまとめたものである^[67]。

近年では、こうしたツール一式をサービスとして提供するPhaaS（Phishing as a Service）が登場している^[68]。PhaaSでは、Telegramなどのメッセージングアプリを通じてフィッシングキットが販売されており、高度な技術を持たない者でも月額サブスクリプション形式でAiTM機能付きのフィッシングサイトを開設できる^[68]。このような攻撃インフラの商品化は、フィッシング攻撃件数の増加と手口の高度化の一因とされる^[69]。

侵入テストツールの悪用

本来はセキュリティ専門家によるペネトレーションテストを目的として開発されたツールが、フィッシング攻撃に転用される事例がある。

Metasploitフレームワークはその代表例で、Rapid7が開発したオープンソースのセキュリティ検証ツールである。Metasploit Proにはフィッシングメールの一斉送信、ウェブサイトの複製（クローン）、認証情報の収集といった機能が実装されており、本来はセキュリティ担当者が組織の脆弱性を評価するために設計されたものである^[70]。しかし2009年のBlack Hatカンファレンスにおける発表では、同フレームワークのモジュールがスピアフィッシング攻撃の実行に転用できることが実証された^[71]。

同様に、ウェブブラウザの脆弱性を悪用するオープンソースツールBeEF（Browser Exploitation Framework）も、攻撃者によってフィッシングサイトへの誘導や偽のウイルス警告の表示に利用されることが知られている^[72]。

Evil Twin攻撃（偽Wi-Fiアクセスポイント）

Evil Twin攻撃は、正規の公衆Wi-Fiアクセスポイントに見せかけた偽のアクセスポイントを設置し、接続したユーザーの通信を傍受する手口である。攻撃者は空港・カフェ・ホテルなど公衆Wi-Fiの利用が多い場所に偽のアクセスポイントを設け、ユーザーを偽のログインページへ誘導して認証情報を詐取する^[73]。ファーミングと組み合わせて使用されることもある^[74]。

SMSなりすまし送信

SMSの送信元を詐称（スプーフィング）する手法を利用したスミッシング攻撃が確認されている。攻撃者は宅配業者や通信事業者、公的機関になりすましたSMSを不特定多数に送信し、偽サイトへ誘導して個人情報を詐取する^[75]。IPAによれば、かたられるブランドは宅配業者から通信事業者・公的機関へと変化しながら継続しており^[76]、フィッシング対策協議会の報告では2024年の国内フィッシング件数急増の背景の一因として指摘されている^[77]。

社会的対策

フィッシング詐欺に対する相談窓口・情報提供先は以下のとおりである。

• フィッシング110番（警察庁）
• フィッシング対策協議会：2005年設立^[78]。フィッシングに関する情報集約、共有、対策推進を行う^[79]。
• IPA（情報処理推進機構）セキュリティセンター
• 国民生活センター

フィッシングサイトを早く見つけて、早く閉鎖することは被害を極小化するためには重要な取り組みである。社内の限られて人員で対応するには限界もあり、２４時間対応していくれる、専門のセキュリティベンダーや脅威インテリジェンスプラットフォームを利用することが効率的である。

認証関係の対策

メール・通信の対策

ユーザー側の対策