かつて、フィッシング攻撃やスピアフィッシング攻撃が急増するのは、クリスマスや春節などの大型連休、バレンタインデーや中国の元宵節など消費が活発になる祝日、あるいは米国のブラックフライデーやサイバーマンデー、英国および英連邦諸国のボクシングデー（12月26日）、アジアの独身の日（11月11日）といった消費者向けショッピングイベントの時期に限られていました。
その後、攻撃者は、自然災害や人為的災害、戦争、疾病、選挙など、今日のニュースをにぎわせるあらゆる出来事によって生じるFUD（恐怖、不確実性、疑念）を悪用し、悪意の種をまけることに気付きました。
英国では、情報コミッショナー事務局（ICO）が、2019年4月から2020年3月までに発生したサイバー関連の侵害の最大の原因はフィッシングだったと報告しています。オーストラリア情報コミッショナー事務局（OAIC）も、報告された全事例の36%をフィッシングが占め、原因別で最多だったことを明らかにしています。
そのため、2020年を通じて、フィッシング攻撃やスピアフィッシング攻撃が急増しました。その背景には、世界的なパンデミックの脅威、各国での隔離措置やロックダウン、在宅勤務を余儀なくされた従業員、さらには米国をはじめとする各国での激しい選挙戦がありました。COVID-19に対応するワクチンの準備が整ったという発表さえも悪用され、警戒心の強い人までが、未知の送信元、あるいはアカウントを侵害され乗っ取られた可能性のある既知の送信元からのメールを開くよう誘導されています。その結果、マルウェアなどの悪意ある攻撃手段が拡散され、ユーザーや企業の情報が盗まれたり、機密性の高いネットワーク、クラウド、アプリケーション、データへの不正アクセスを許したりするおそれがあります。
最近フィッシング攻撃が急増している理由として最も多く挙げられるものの1つが、COVID-19のパンデミックに伴う在宅勤務命令です。多くの従業員、請負業者、その他のスタッフが在宅勤務やリモートワークを余儀なくされ、攻撃者はすぐにそこへ目を付けました。攻撃者は、リモートワークをする人々が以前より大きなプレッシャーにさらされ、警戒心が緩み、普段なら不審に思うようなメールであっても、ほぼあらゆるメール内のリンクをクリックし始める可能性が高いと見抜いていました。また、在宅勤務者が使用するBYOD製品には、フィッシングなどの攻撃から保護するために組織が通常使用するツールが導入されていない可能性があることも把握しています。さらに攻撃者やハッカーは、在宅勤務者にはセキュリティソフトウェアを稼働させ続けたり、最新の状態に保ったりするための十分な帯域幅がなく、ソフトウェアを無効にしたり、更新を見逃したりする可能性があると考えています。そして多くの場合、その見立ては当たっています。
フィッシングと暗号化
フィッシング攻撃が急増するのに伴い、暗号化を使用するフィッシングサイトも増加しています。F5 Labsの最新の「Phishing and Fraud Report 2020」によると、フィッシングリンクの約72%が被害者をHTTPSで暗号化されたWebサイトに誘導しています。つまり、現在では悪意のあるフィッシングサイトの大半が正規の信頼できるWebサイトのように見え、経験豊富な従業員でさえ簡単にだまされる可能性があります。このデータは、以下を含む他のレポートの調査でも裏付けられています。Venafiのレポートでは、有効な証明書を使用してフィッシングサイトを正規のサイトに見せかける、不審な小売サイトの類似ドメインが確認されており、その結果、機密性の高いアカウント情報や決済データが盗まれています。
TLS暗号化を利用して信頼できる正規のサイトに見せかけるのは、悪意のあるWebサイトだけではありません。フィッシング攻撃によって配信されたマルウェアが、被害者やその組織から窃取したデータの送信先にもTLS暗号化が利用されています。こうした送信先は「ドロップゾーン」と呼ばれます。F5 Labsの『Phishing and Fraud Report 2020』によると、2020年にF5 Security Operations Center（SOC）が調査したドロップゾーン関連のインシデントは、すべて（100%）TLS暗号化を使用していました。
暗号化トラフィック内の脅威検出は容易ではない
現在、フィッシングにさまざまな角度から対処するためのソリューションが数多く提供されています。フィッシング攻撃を見分けて対処する方法を従業員に教育し、攻撃による被害や有効性を低減するソリューションもあります。こうしたソリューションは、スパム、マルウェア、悪意のある添付ファイル、BEC攻撃などから保護し、メールセキュリティを強化します。また、組織のメールを管理するサービスもあります。さらに、組織のWebトラフィックをプロキシし、複製または模倣したうえで、ローカルデバイスでレンダリングするコードを配信するサービスや、疑わしいコードや悪意のある可能性のあるコードを一切含めずにWebページを再現するサービスも提供されています。
これらはいずれも優れたソリューションですが、暗号化トラフィックへの対応という問題は依然として残ります。トラフィックが暗号化されている場合、マルウェアやその他の危険なコードが含まれていないかを検査するには、事前に復号する必要があります。これは、ユーザーがフィッシングメール内の不正なマルウェア感染につながるリンクをクリックする、悪意のあるコードが仕込まれた添付ファイルをダウンロードする、または「正規の」暗号化証明書があるため本物で無害に見える悪意のあるWebサイトにアクセスすることで組織内に流入する暗号化トラフィックだけでなく、盗まれたデータを暗号化されたドロップゾーンへ送信したり、さらなる攻撃を引き起こす追加の指示やトリガーを求めてコマンド＆コントロール（C2）サーバーに接続したりする、組織外へ流出する暗号化トラフィックにも同様に当てはまります。
さらに、欧州連合（EU）の一般データ保護規則（GDPR）やカリフォルニア州消費者プライバシー法（CCPA）をはじめ、世界各国で審議されている多くの規制には、通常、ユーザーの金融情報や医療情報など、個人情報の復号を禁じる規定が含まれていますが、この点も考慮する必要があります。暗号化トラフィックを復号する際は、こうしたプライバシー要件に対応しなければなりません。これらの規制に違反した組織は、訴訟や多額の罰金を科される可能性があります。
しかし、問題はそれだけではありません……
とはいえ、暗号化を利用する今日のフィッシング攻撃には、組織が認識しておくべき点がほかにもあります。F5 Labsの「Phishing and Fraud Report 2020」では、ドロップゾーンの55%以上が標準外のSSL/TLSポートを使用している一方、フィッシングWebサイトの98%以上が、平文HTTPトラフィック用のポート80や暗号化トラフィック用のポート443など、標準ポートを使用していることも明らかになりました。つまり、特に外向きの暗号化トラフィックについては、標準ポートのスキャンだけでは不十分です。導入するソリューションは、標準外ポートを通過する外向きトラフィックもスキャンして復号する必要があります。これは、重要データの難読化と流出を阻止するために不可欠です。
現在、フィッシング攻撃による暗号化された脅威を阻止するには、組織は受信するすべてのSSL / TLSトラフィックを検査し、悪意のあるWebトラフィックやフィッシングに起因する可能性のあるWebトラフィックを確実に遮断、排除する必要があります。ただし、この検査には、金融情報や健康関連情報など、ユーザーの機密情報を含む暗号化トラフィックについて、復号をインテリジェントに回避する機能も必要です。さらに、マルウェアとC2サーバーやドロップゾーンサーバーとの暗号化通信を阻止し、データ流出や攻撃のトリガーを防ぐため、非標準のアウトバウンドWebポートを完全にブロックするか、少なくとも監視する必要があります。ほかにも、セキュリティスタック内のデバイスがサポートする暗号化方式など、考慮すべき重要な点があります。たとえば、特定のセキュリティデバイスが前方秘匿性（完全前方秘匿性、PFSとも呼ばれます）をサポートしていないことを攻撃者が把握している場合、その弱点を悪用し、暗号化トラフィックがセキュリティデバイスをそのまま通過するよう仕向ける可能性があります。これは、スタック内のセキュリティデバイスが数珠つなぎになっている環境では、特に大きな損失と危険をもたらします。PFSをサポートしていない1台のデバイスがトラフィックをバイパスすると、後続のチェーン全体でもそのトラフィックがバイパスされます。
セキュリティ意識向上トレーニングやメールセキュリティまたはフィッシング対策ソリューションの導入に加えて、こうした保護対策を講じなければ、組織は攻撃や侵害、企業やユーザーの重要データの窃取にさらされることになります。
F5 SSL Orchestratorが、暗号化トラフィックによって生じるセキュリティ上の死角を解消し、重要なデータの流出や窃取を隠蔽する難読化を見破る仕組みについては、こちらをクリックしてください。
著者について
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。