フィッシング対策で企業が取り組むべきセキュリティ対策

2021年2月にフィッシング対策協議会に寄せられたフィッシング報告件数（海外含む）は、約3万件となっています。2020年3月は約9,600件で、月を追うごとに徐々に増加し、2020年8月には2万件を超え、2021年2月までに増加の一途を辿っています。

2021年2月にフィッシングに悪用されたブランドは59ブランドで、そのうち、クレジット・信販系は16ブランド、金融機関は7ブランドでした。

＞参考情報：フィッシング対策協議会 - フィッシング報告状況

最も単純で典型的な手口は、一般事業者を模したフィッシングサイトを用意して、そのサイトのURLを文面に含めたメールを利用者にばらまく手法です。

またSMSを利用し、フィッシングサイトへ誘導する手口に加え、電話をかけるように誘導し、利用者本人と電話で話したうえ、金銭を詐取する手口が使われることも多くあります。

過去には、カード会社を装ったフィッシングメールから偽のWebサイトに誘導することでクレジットカード番号や暗証番号を盗んだり、有名なオークションサイトで「評価が上がった」という内容の偽メールを送り付けて、オークションサイトのログイン・ページに見せかけた偽ページに誘導し、ログイン情報やクレジットカード番号などを盗んだりする事例がありました。

1.Webサイト等での顧客や消費者への啓蒙

自社をよそおってフィッシングメール等を送りつける者がいることを、公式Webサイト等を通じて大々的に情報発信し、顧客や消費者が被害に合わないように啓蒙する必要があります。

また、メールではIDとパスワードの確認をすることはないことを伝えたり、メールを送信するケースとその内容を明確にし、伝えておくことも重要です。

また従業員がそうした被害に合わないためには、セキュリティ教育の実施や対策ソフトの導入が必要です。

2.Webサイト、メール、自社システムの脆弱性の排除

物理的に自社サイトやシステムのセキュリティ対策を行うことも必要です。Webサイト、メール、自社システムの脆弱性を排除しておきましょう。

WebサイトにはSSLサーバー証明書を導入し、サイトの暗号化をするほか、第三者のなりすましによる偽サイトと差別化します。また、ユーザーによるログインが必要なサービスサイトを持っている場合には、ログインする際の認証を強化すること等も必要です。

その他、不正なアクセスの監視やフィッシング詐欺検知に有効なサービスを活用し、迅速に被害発生を検出することも重要です。

メールは、利用者が正規メールとフィッシングメールを判別できるようにする対策が必要です。

企業が送信するすべてのメールに電子署名をつけるといった対策があります。

また、外部送信用メールサーバーを送信ドメイン認証に対応させることや利用者に送信するSMSには国内直接接続の配信を利用するなどの対策もあります。

自社システムやデータベースを守ることも重要です。不正に入手されたIDやパスワードを用いてサービスサイトにログインされ、被害にあうこともあります。サイバー攻撃を防ぐ監視ツールセキュリティサービスを導入し、自社システムのセキュリティを高めておく必要があります。

フィッシング詐欺が発生してしまったら、次の流れで対策を行うことが、フィッシング対策協議会の「フィッシング対策ガイドライン2023年版」で推奨されています。

1.フィッシング詐欺被害の発見

2.フィッシング詐欺被害状況の把握

3.フィッシング詐欺被害対応の活動

・ フィッシングサイトテイクダウン活動

・ フィッシングメールに対する注意勧告

・ 関係機関への連絡、報道発表

4.生じたフィッシング詐欺被害の回復措置

5.事後対応

2のフィッシングサイトテイクダウン活動とは、フィッシングサイトが属しているIPアドレスブロックを管理しているISPに連絡を取り、フィッシングサイトのテイクダウン依頼を申請することが示されています。

また、国内では一般社団法人 JPCERTコーディネーションセンターでテイクダウン依頼を受け付けているため、並行して申請することが望ましいとされています。

F5 Distributed Cloud Services の「Bot Defense」は、ボットや攻撃する人物によるフィッシング詐欺や不正アクセスなどからWebサービスを保護するクラウドサービスです。 

特に、従来のセキュリティ製品では検出できなかった高度化した攻撃からも、AIを活用することによって保護することができます。

日々、大手企業にはさまざまな攻撃が仕掛けられていますが、当サービスはその攻撃を排除していることから、膨大な量のトラフィックデータを収集しています。その膨大な量のデータにより、機械学習の精度が向上し、精度の高い解析を可能とします。

フィッシング詐欺の被害は年々増加の一途をたどっており、事業者のリスクも高まっています。

あらゆる方面から適切な対策を取る必要がありますが、サイバー攻撃技術は年々、高度化・巧妙化しており、従来の対策では対策しきれない面も出てきています。

フィッシング対策をただ行うだけでなく、強化したいという場合には、高度なセキュリティ対策で護るF5ネットワークスのフィッシング対策サービスがおすすめです。