学資援助を狙うサイバー犯罪から保護し、顧客の信頼を築く

Hunter Smitプロダクトマーケティング担当シニアマネージャー | F5

昨年、妻が博士課程に進学すると、学資援助を装ったフィッシングメールが相次いで届くようになりました。これらは広く無差別に送信されたものでしたが、類似したブランド表現やドメイン名、行動を促す文言を用い、もっともらしく見せようとしていました。しかし、いずれも心当たりのないメールで、早急な対応を迫る内容でした。詳しく確認したところ、フィッシング詐欺だと分かりました。妻はすぐにMicrosoft Outlookで［フィッシングとして報告］をクリックしてメールを削除しましたが、これをきっかけに、学資援助詐欺が及ぼす影響について考えるようになりました。

米国では、約4,300万人が学生ローンを抱えており、その残高の中央値は約37,000ドルです。米国国立教育統計センターによると、学生の約80%が学資援助を受けています。学生ローンを抱え、学資援助を受けている人が多いことから、悪意のある攻撃者はこの大規模な市場を格好の標的と見なしています。Forbesの報道によると、学生ローン詐欺の被害額は50億ドルを超えました（2022年）。詐欺被害を示す数値は、単なる憂慮すべき統計ではありません。実際の人々にも影響を及ぼし、社会人としての一歩を踏み出す新卒者のキャリア初期の基盤を揺るがしています。

ローンサービサーと借り手にとってのリスク

学生ローンのサービサーは、学生ローンや学資援助に関する不正に伴う、主に4種類のリスクに直面します。

• 新規口座開設詐欺
• アカウント乗っ取り
• 個人情報の盗用
• 不正な請求

4つのリスクはいずれも多くの共通する影響をもたらしますが、ビジネスへの影響が特に大きいのは、顧客からの信頼の低下と攻撃に伴うコストです。借り手が、ブランドに関連する不正なアカウント操作、詐欺、個人情報の盗難による被害を受けると、借り手と貸し手の間の信頼関係が損なわれます。インシデント発生後に信頼を取り戻すには、多大な労力と時間を要します。同様に、攻撃が成功した場合、復旧対応には組織にとって莫大な費用がかかります。こうした事態は、悪夢のようなシナリオとなることも少なくありません。

借り手は、学生ローン、ローンの一本化、債務救済を装った犯罪者の詐欺に狙われやすくなっています。サイバー犯罪者は、私の妻が受け取ったフィッシング詐欺のように、学生が正規のサービスだと誤認し、アカウントへのアクセスを許可したり、個人を特定できる情報（PII）を提供したりすることを見越して、学生を標的にします。2022年10月にFBIが発表した注意喚起では、サイバー犯罪者が、米国学生ローン債務救済計画の申請支援を装って卒業生を狙っているとして、借り手に警告しました。

難しいことを驚くほど簡単に

2022年、カナダのある政府機関は、学生向けの学資援助とCOVID-19パンデミック救済に関して、分散型サービス拒否（DDoS）攻撃、ボット、不正行為という深刻な問題に直面していました。この組織から攻撃の緩和支援について相談を受けたF5は、F5 Distributed Cloud Servicesの大規模な概念実証を開始しました。この概念実証では、不正なアプリケーショントラフィックの発見に役立つ高度なシグナルを提示し、アプリケーション全体を完全に可視化することがセキュリティ上いかに重要かを確認できました。

概念実証の実施中、多額の不正請求や不正なアカウント行動を示すデータの異常が見つかりました。憂慮すべき結果を確認したF5は、直ちに同組織のサイバー犯罪対策チームに連絡し、CISOをはじめとするセキュリティ部門の主要責任者に調査結果を報告しました。この説明の後、CISOからF5に調査を高く評価するメールが届き、次のように述べられていました。

「この種のデータをこれほど明快かつ簡潔に提示する方法は、33年のキャリアで初めて目にしました。」

現在、この政府機関は保護されており、常に攻撃者の数歩先を進んでいます。F5 Distributed Cloud Bot Defenseを活用して、300万ドルを超える不正請求を阻止しました。堅牢なサービスを迅速かつシームレスに導入し、不正を解決するとともに、将来の不正を防止できることが大きな成果となりました。特に優れた成果の1つは、保護が強化され、セキュリティチームと利用者が夜も安心して過ごせるようになったことです。

The F5 Distributed Cloud Platformは、マルチクラウド、オンプレミス、エッジの各環境にわたり、ボット攻撃や自動化された攻撃からアプリケーションを保護し、単一のポータルで管理できます。セキュリティ担当者は、ボリューム型攻撃に対するDDoS緩和策を導入し、ボットをリアルタイムで緩和できます。また、強力なAIを活用した不正防止と認証インテリジェンスにより、正規のリピーター顧客のログイン時の負担を軽減しながら、アカウントを保護できます。

学生ローン利用者の保護に役立つヒントを共有

学生や卒業生は、オンラインアカウントに関するデジタル衛生を高い水準で維持する必要があります。攻撃者は一般にクレデンシャルスタッフィング攻撃やブルートフォース攻撃を利用するため、借り手や学資援助の受給者は、パスワードと多要素認証に注意を払い、連絡先情報を最新の状態に保つことで、アカウントへの不正アクセスの可能性を最小限に抑えられます。

• フィッシングに警戒： ほとんどの攻撃は、単純なフィッシングメールから始まります。借り手に対し、ローン返済免除の案内や、大学関係者を装ってFSA IDやパスワードなどの情報を求める人物を疑うよう周知することが不可欠です。
• パスワード： 当面、パスワードがなくなることはありません。そのため、使用する必要がある場合は、強力で固有のパスワードを設定し、定期的に変更するとともに、パスワードマネージャーの利用もご検討ください。Security.orgによると、mycollege1 のような単純なパスワードは、コンピューターアルゴリズムによって約1日で解読される可能性があります。一方、dwf19g-3Y&es-cBE@!s のようなランダムなパスワードの解読には、一生を超える時間がかかる可能性があります。暗号化されたパスワードマネージャーを使えば、長くランダムなパスワードを覚えておく必要がありません。iCloud Keychain from Appleや1Password などのパスワードマネージャーには、パスワードの提案機能や自動入力機能があり、誰もがより手軽に利用できます。
• 多要素認証（MFA）： パスワードが漏えいし、クレデンシャルスタッフィング攻撃に使用された場合、MFAは次の重要な防御手段となります。MFAでは、サインインを完了するために、2つ目の要素として生成されるワンタイムコードの入力が必須となります。多要素認証アプリには、Appleが提供するもの（iCloud Keychainを使用してmacOSとiOSに組み込み）や、Microsoft（Microsoft Authenticator）、1Passwordなどがあります。
• 連絡先情報： 日々の生活が忙しくなると、古い住所、電話番号、メールアドレス、氏名がどこに登録されたままか、把握しきれないことがあります。連絡先情報を更新することで、通知の見落としや、悪意のある第三者が古い情報を利用してアカウントに不正アクセスすることを防ぎやすくなります。

手口を変える犯罪者よりも迅速に適応

サービサーと借り手がサイバーセキュリティへの責任を共有することは不可欠です。信頼を築き、将来の攻撃の可能性を最小限に抑えるには、セキュリティを基盤とする必要があります。セキュリティ対策を先回りして実装し、互いのデジタルライフを守りましょう。貸し手とサービサー向けのF5 Distributed Cloud Bot Defenseは、犯罪者が防御を回避するために手口を変えるのを阻止するとともに、組織がボットの一歩先を行けるようにし、長期的な有効性と顧客の負担ゼロを実現します。不正なアカウント作成の削減にF5 Distributed Cloud Bot Defenseがどのように役立つか、詳しくご覧ください。

著者について

Hunter Smitプロダクトマーケティング担当シニアマネージャー | F5

Hunter Smitは、F5でソリューションおよび戦略担当のプロダクトマーケティングシニアマネージャーを務めています。AIインフラストラクチャやアプリケーションセキュリティを含むF5ポートフォリオ全体のソリューションマーケティングを統括し、新興のAIデータデリバリー市場へのF5の参入を推進しています。Whitworth University School of Businessの諮問委員会メンバーであり、プロダクトマーケティングの非常勤講師も務めました。Whitworth UniversityでMBAおよび経営学の学士号を取得しています。

Hunter Smitのその他のブログ記事