ソーシャルエンジニアリング vs フィッシング
サイバー攻撃とハッキングの一般的な概念は、誰かがソフトウェアの脆弱性を悪用してシステムにアクセスするというものです。 ただし、ほとんどの場合、これは当てはまりません。 多くのサイバー攻撃者は、ソフトウェアやコンピューターを標的にするのではなく、人間のユーザーを標的にしています。 ソーシャル エンジニアリングとフィッシング攻撃は、この手法の 2 つの主な例です。
What is Social Engineering?
ソーシャルエンジニアリング攻撃 は、欺瞞、強制、および同様の手法を使用して、攻撃者が望むことをターゲットに実行するように誘導します。 攻撃者は、同僚、権威者、信頼できるベンダー、またはターゲットが信頼し、助けたいと思っている他の誰かのふりをすることがあります。 また、攻撃者は、ターゲットが自分の希望に従わない場合、機密情報や損害を与える情報を公開すると脅したり、ターゲットの支援のために賄賂を提供したりする可能性があります。
ソーシャルエンジニアリング攻撃は、さまざまな方法で実行できます。 コンピューターを使用したり、電話を使用したり、直接会ったりする場合があります。 たとえば、郵便配達員のふりをしたり、誰かにドアを押さえるように頼んだりすることは、安全なエリアに物理的にアクセスするように設計されたソーシャルエンジニアリング攻撃の典型的な例です。
フィッシングとは?
フィッシング攻撃は、悪意のあるメッセージを使用してターゲットを攻撃者の命令に従わせます。 多くの場合、これらのメッセージには、悪意のあるコンテンツを含むリンクまたは添付ファイルが埋め込まれています。 ユーザーがリンクをクリックするかファイルを開くと、機密情報が盗まれたり、コンピュータにマルウェアがインストールされたりする Web ページが表示される可能性があります。
ただし、すべてのフィッシング攻撃がこの悪意のあるリンクやファイルを必要とするわけではありません。 中には、悪意のあるコンテンツを含まずにユーザーを騙して何らかのアクションを起こさせるように設計されたものもあります。 たとえば、ビジネスメール詐欺(BEC) 攻撃には、企業のために実行されたとされるサービスの偽の請求書が含まれることがよくあります。 これらの請求書にはマルウェアは含まれていませんが、受信者が請求書を信じて支払った場合、そのお金は攻撃者の手に渡ります。
フィッシングは一般的に電子メールに関連付けられていますが、どのメッセージング プラットフォームもこれらの攻撃を実行するために使用できます。 テキスト メッセージをめぐるフィッシングはスミッシング (SMS フィッシング) と呼ばれており、ソーシャル メディア、企業コラボレーション プラットフォーム、および同様のソリューションもフィッシング攻撃の実行に使用される可能性があります。
ソーシャルエンジニアリング vs フィッシング
ソーシャル エンジニアリングとフィッシングは関連する概念です。 実際、フィッシングはソーシャル エンジニアリング攻撃の一種です。
ソーシャルエンジニアリングとは、攻撃者がターゲットに攻撃者の命令を実行させるために使用する手法を指します。 フィッシング攻撃の場合、攻撃者は何らかの形式のメッセージング プラットフォームを使用して、リンク、悪意のある添付ファイル、またはその他の種類の欺瞞的、誘惑的、または脅迫的なコンテンツを受信者に送信し、受信者を攻撃者の命令に従わせます。
その他のソーシャルエンジニアリング攻撃
フィッシング攻撃はソーシャル エンジニアリングの最も一般的なタイプであり、スピア フィッシングや捕鯨などのいくつかのバリエーションがあります。 ただし、ソーシャルエンジニアリング攻撃には、次のような他の形態もあります。
- ピギーバック/テールゲーティング: これは物理的なソーシャルエンジニアリング攻撃であり、攻撃者は正当な従業員を騙して入室させることで、安全なエリアにアクセスします。
- ファーミング:ファーミング攻撃は、DNS ハイジャックまたはその他の手法を介して、正規の URL を攻撃者が制御するサイトにリダイレクトします。
- プリテックス: プリテキスティングとは、攻撃者が他人のふりをすることであり、さまざまな潜在的な攻撃で使用される手法です。
苦しま せる： この攻撃では、攻撃者は機密情報やその他のアクションを提供する代わりに、ターゲットに価値のあるものを約束します。
ソーシャルエンジニアリング攻撃を防ぐ方法
組織は、ソーシャルエンジニアリング攻撃に対して、次のような幅広い保護を実装できます。
- 社員教育: ソーシャルエンジニアリング攻撃は、一般的に欺瞞や策略に依存しています。 これらの攻撃を認識し、正しく対応できるように従業員をトレーニングすることで、攻撃が成功するリスクが軽減されます。
- 電子メール セキュリティ:フィッシングは、ソーシャル エンジニアリング攻撃の最も一般的な形式の 1 つです。 電子メール セキュリティ ソリューションは、有益なメールが従業員の受信箱に届く前に特定してブロックできます。
- アカウントのセキュリティ:フィッシングなどのソーシャル エンジニアリング攻撃は、多くの場合、ユーザー アカウントのログイン資格情報を盗むように設計されています。 多要素認証(MFA)、ゼロトラスト ネットワーク アクセス(ZTNA)、および同様のソリューションを使用すると、攻撃者がこれらのアカウントにアクセスできるリスクと、攻撃が成功した場合に受ける可能性のある損害を軽減できます。
- エンドポイント セキュリティ：ソーシャル エンジニアリング攻撃は、企業システムにマルウェアを展開するためにもよく使用されます。 エンドポイント セキュリティ システムは、これらのマルウェア感染を防止し、ビジネスへの脅威を排除します。
- Web セキュリティ:フィッシング メッセージ内の悪意のあるリンクにより、データを盗んだりマルウェアを配布したりする悪意のある Web サイトにユーザーが誘導される可能性があります。 ブラウザ内セキュリティは、悪意のあるコンテンツを特定し、ユーザーのデバイスに到達するのをブロックします。
- データ漏洩防止 (DLP): ソーシャルエンジニアリング攻撃は、多くの場合、機密データを盗むように設計されています。 DLPソリューションは、権限のない第三者への機密データの流れを特定し、データ漏洩をブロックできます。
- 職務の分離: BECやその他のソーシャルエンジニアリング攻撃は、ユーザーを騙して有害な行動をとらせるように設計されている可能性があります。 請求書の支払いなどの重要なプロセスを、異なる従業員が所有する複数のステージに分割すると、攻撃者は複数のターゲットを騙すことを余儀なくされ、成功の可能性が低くなります。
チェック・ポイントによるソーシャル・エンジニアリング攻撃の防止
ソーシャルエンジニアリング攻撃にはさまざまな形態があります。 ソーシャル エンジニアリングの脅威について詳しくは、チェック・ポイントのソーシャル エンジニアリング電子ブックをご覧ください。
By far, phishing is the most common social engineering threat, and email security solutions are an effective defense. Read more in the Forrester Wave for Enterprise Email Security 2023. Check Point Endpoint Security offers a range of features designed to minimize the risk of social engineering and phishing attacks. See what it can do for your organization with a free demo.
