ホリデーシーズンの詐欺は消費者だけの問題？そうとは限りません

F5エコシステム | 2023年11月09日

Jay Kelleyプロダクトマーケティング担当シニアマネージャー | F5

世界最大のショッピングデーである中国の「独身の日」は、11月11日です。

米国最大のショッピングデーであるブラックフライデーは、11月24日です。

サイバーマンデーは、おそらくオンラインショッピングが最も盛んになる日で、11月27日です。

では、驚くほど多くのセールが行われ、多くの人とそのクレジットカードが酷使され、小売業者やECサイトにとって記録的な売上日となること以外に、これらの日にはどのような共通点があるのでしょうか。

これらの日は、世界中の攻撃者にとって格好の稼ぎ時です。

攻撃者が狙っているのは、大幅な割引で特別な商品を手に入れることではありません。盗んだパスワードやクレジットカード番号など、ありとあらゆる情報を袋いっぱいに詰め込んで持ち去ろうとしています。もちろん、ランサムウェアも忘れてはなりません。

攻撃者をはじめとする悪意ある者は、データや苦労して稼いだお金を盗むためなら手段を選びません。たとえば、次のような行為に及ぶ可能性があります。

小売業者、eコマース企業、メーカーの名前をかたった悪意のあるリンクを含むフィッシングメールを受信トレイに大量に送り付けたり、同様のテキストメッセージをモバイルデバイスに大量に送信したりする。
偽広告で驚くほどの割引をうたい、リンクをクリックするだけで利用できるように見せかけます。もちろん、クレジットカード番号の入力も求められます。
URLに南京錠アイコンが表示されているため、暗号化されていて「安全」だと思わせる、一見正規のWebサイトで認証情報の入力を求めます。
普段利用している、またはお気に入りの配送業者を装ってメールやテキストメッセージを送り、本物らしく見える荷物追跡用のリンクを記載したり、ユーザー名とパスワードまたは個人情報を確認しないと注文品を配達できないと伝えたりする。
どこを探しても売り切れているような「絶対に欲しい」商品が、ある1つのウェブサイトでのみ、信じられないほど安い価格で期間限定販売されているかのように宣伝します。（ですから、信じないでください。）

さて、SecOpsやITなど、企業や組織のセキュリティを担当している方は、これを読んで次のように考えているかもしれません。「これは一般消費者の問題のように思える。自分や自社には影響しないはずだ。それに、従業員やその他のユーザーには研修の受講が義務付けられており、組織の機器を私的に使用してはならないことを理解した旨の文書に署名することさえ求められている。だから、そのようなことはしないだろう」

そうとは限りません。最近の調査によると、回答者の50%超が、会社支給のデバイスでメールを確認したり買い物をしたりしたことがある、または友人や家族に同じことをさせたことがあると回答しています。また、20%超が会社支給のデバイスでソーシャルメディアを確認していました。

従業員やユーザーの誰か1人が、実在する小売業者、EC企業、メーカーを装った本物らしいフィッシングメールやテキストメッセージを業務用デバイスで開き、リンクをクリックして正規のWebサイトを装ったサイトにアクセスするだけで、組織、ネットワーク、アプリ、データを危険にさらすランサムウェアやマルウェアなどの厄介な脅威による攻撃を受ける可能性があります。

そこで、独身の日、ブラックフライデー、サイバーマンデーをはじめとするショッピングイベントに便乗した攻撃について従業員やユーザーへの啓発を行い、組織を保護するためのヒントをご紹介します。

従業員やユーザーに対し、業務用デバイスを私用、特に買い物に使用しないよう注意を促します。
今後のショッピングシーズンに合わせて、フィッシング対策の再教育を実施します。または、業務用デバイスで個人のメールやテキストメッセージにアクセスしないよう、従業員とユーザーに注意喚起します。特に、心当たりのないメールやテキストメッセージを開いたり、メールやテキストメッセージ内のリンクをクリックしたりせず、送信元企業のURLを直接入力してWebサイトにアクセスするよう促します。
メールやテキストメッセージ内のリンク、または一方的に表示された広告からアクセスしたWebサイトが、正規の暗号化されたサイトのように見え、URLアドレスに小さな南京錠アイコンが表示されていても、偽のフィッシングサイトである可能性があることを伝えてください。そのサイトでは、ログイン情報を含む認証情報や、個人情報、金融情報を入力しないよう注意を促してください。繰り返しになりますが、情報元企業のURLを直接入力してWebサイトにアクセスするよう案内してください。
従業員やユーザーには、メール、テキストメッセージ、広告で紹介される、うますぎると思えるような取引は、事実ではない可能性が高いことを伝えてください。そのため、記載されたリンクはクリックせず、小売業者、EC事業者、またはメーカーのWebサイトに直接アクセスして商品を探すよう案内してください。
どのWebサイトでも売り切れている商品が、ある1つの販売元でのみ期間限定で購入できるという場合も同様です。従業員やユーザーに、そのリンクをクリックしないよう注意喚起してください。
従業員やユーザーには、配送予定に関するメールやテキストメッセージを受信した場合、注文の追跡リンク、注文が紛失したという通知とその追跡リンク、またはその他のリンクが含まれていても、リンクをクリックせず、配送業者のWebページに直接アクセスして注文を追跡するよう伝えてください。
また、従業員やユーザーには、配送業者から配達予定の荷物に関するメールやテキストメッセージが届き、配達のためにクレジットカード情報やその他の個人情報または金融情報が必要だと記載されていても、その情報を提供しないよう注意を促してください。代わりに、配送業者のWebページに直接アクセスし、荷物の配送状況を確認するよう案内してください。
従業員またはユーザーが、小売業者、eコマース事業者、メーカーで保有するいずれかのアカウントについて不審な点があると感じた場合、または詐欺、フィッシング、なりすましが行われていると感じた場合は、その小売業者、事業者、メーカーに直接報告してください。

しかし、どれほど注意喚起や警告を行っても、十分ではない可能性があります。たった1人の従業員やユーザーが誤ってリンクをクリックするだけで、ビジネスに悪影響が及ぶおそれがあるためです。F5がお手伝いします。

F5は、あらゆる環境のアプリとAPIを保護します。高度な人間行動のエミュレーションへと急速に発展し得る自動化攻撃からWebアプリ、モバイルアプリ、APIを守るボット対策から、シンプルで一貫性があり、高く評価されているセキュリティによって最も重要なものを防御すること、つまりアプリ、API、その基盤となるインフラストラクチャの防御、さらにはランサムウェアなどの暗号化された脅威から組織を保護することまで、F5はネットワーク、アプリ、データのセキュリティ確保と保護を支援します。独身の日、ブラックフライデー、サイバーマンデーなどのショッピングイベント当日だけでなく、毎日を通じて支援します。

F5がお客さまの組織、アプリ、データを保護する方法について詳しくは、こちらをクリックしてください。

注目のブログ記事

F5、NVIDIA Cloud Partnerリファレンスアーキテクチャで大規模なAI推論を高速化・保護

妥協のないAIモデルとエージェントのセキュリティ：F5によるCalypsoAIの買収で実現する、エンドツーエンドのAIランタイム保護

量子時代への備え：F5でPQCを有効化するための実践ガイド

タグ： 2023, Retail