フィッシング攻撃は、引き続き組織が直面している最も影響力の強い脅威の1つとなっており、企業がデジタル通信チャネルへの依存度を高めるにつれて、サイバー犯罪者はメール、SMS、音声通信の脆弱性を悪用して、高度なフィッシング攻撃を仕掛けています。また、コロナ禍によってこの数年間で急速に普及したリモートワークも、フィッシング攻撃のリスクをさらに高めています。

Zscaler ThreatLabzが公開した最新のフィッシングレポートによると、フィッシング攻撃の件数は依然として増加傾向にあり、サイバー犯罪者がさらに高度な技術で大規模な攻撃を仕掛けた結果、2022年のフィッシング攻撃が前年比で47.2%増加したことがわかりました。2022年には教育業界が最も標的にされ、攻撃件数は576%増加した一方で、小売および卸売業界への攻撃件数は2021年から67%減少しました。

OneDriveやSharepointなどのMicrosoft製品は、仮想通貨取引所のBinanceや違法なストリーミングサービスと合わせて最も頻繁に標的とされています。国別では、米国、英国、オランダ、ロシア、カナダが最も標的にされた上位5か国という結果になりました。1日あたり2,800億件のトランザクションと80億件のブロックされた攻撃を分析した結果、MFAを含む従来のセキュリティモデルを回避する非常に効果的なキャンペーンを開始するために、フィッシングキットやAIツールの使用が拡大していることが明らかになりました。

Zscaler ThreatLabzはこのレポートを毎年発行し、組織がフィッシング攻撃で使用されるソーシャルエンジニアリング戦術や高度なコーディングを理解して、コストのかかるデータ侵害を防止するサポートをしています。この調査結果は、サイバーセキュリティインフラストラクチャーを再検討し、増大するフィッシング詐欺の脅威や実際に使用される技術の影響を軽減するための積極的な対策を講じる必要性を引き続き強調しています。

例えば、今年のレポートはブラックマーケットやChatGPTなどのチャットボットAIツールから入手したフィッシングキットの使用が増加傾向にあることを示し、攻撃者がユーザーを操作してセキュリティ資格情報を共有させる、より標的を絞ったフィッシングキャンペーンを簡単に開発できるようになっていることを明らかにしています。AIやPaaS製品の普及に伴い、サイバー犯罪者はこれまで以上に簡単に組織を侵害して、脅迫する目的で機密データにアクセスできるようになっています。

今回のレポートでは、SMSフィッシング(スミッシング)にとどまらず、ボイスメール関連のフィッシング(ビッシング)を使用して被害者を誘いこみ、悪意のある添付ファイルを開かせようとするフィッシング攻撃の進化についても言及されています。加えて、攻撃者は高度な中間者(AiTM)攻撃で多要素認証(MFAセキュリティ対策)を回避しています。

これらの脅威に対抗するには、組織は攻撃対象領域を大幅に最小化し、侵害を防ぎ、攻撃が成功した場合の影響を縮小するゼロトラストアーキテクチャーを採用する必要があります。ゼロトラストアプローチでは、すべてのユーザー、アプリケーション、デバイス、ネットワークは検証されない限り、機密データにアクセスすることはできません。

2023年のレポートは、セキュリティのベストプラクティスを採用してフィッシング攻撃から組織を守る方法について、実用的なインサイトと専門家によるアドバイスも紹介しています。また、各従業員に対してフィッシングのリスクだけでなく、強力なパスワードポリシーとMFAの必要性を周知させることの重要性を強調すると同時に、AIと機械学習を使用してフィッシング攻撃を検出、ブロックするクラウドベースのメールセキュリティソリューションの実装を推奨しています。

最新のフィッシング脅威と組織を保護する方法の詳細については、2023年版 ThreatLabzフィッシングレポートをダウンロードしてご確認ください。