フィッシングとは、ソーシャルエンジニアリングの一種で攻撃者が被害者を騙し個人情報を聞き出すために作成した偽装メッセージを送信することです。
SMS、ソーシャル・メディア・プラットフォーム、電子メールなどで送信されるメッセージは信頼できる企業からのメッセージであるかのように思わせることができますが、ほとんどの場合マルウェアを拡散するための悪意のある添付ファイルが含まれていたりします。
Vishingとは、Voice Phishingの略で「音声」と「Phishing」を組み合わせたフィッシングの一種です。
Vishingでは、攻撃者は信頼できる組織（銀行や人気のオンラインサービス）の人物になりすましますが、個人情報を盗むため電話を武器として使用します。
場合によっては、詐欺師が被害者に電話をかけたり、ボイスメールのメッセージを残したりします。また、連絡先の電話番号を記載した電子メールを送信し、受信者にその番号に電話するようアドバイスするケースもあります。
攻撃者は誰かが引っかかることを期待して、何千通ものフィッシング・メールを一斉に送りつけることができますが、現在VoIP（ボイス・オーバー・インターネット・プロトコル）技術によって、攻撃者が発信者番号や身元を偽装しながら同じことができるようになっています。
サイバーセキュリティ企業「Armorblox」が発表したレポートでは、アマゾンになりすまし顧客のクレジットカード情報を盗むことを目的とした最近の2つのフィッシング攻撃を分析しています。
最初のフィッシング攻撃は、約9,000の電子メール受信箱を追跡し、Gmailアカウントから送信され、件名は「Invoice:ID」となっていました。
このメールは、Gmailアカウントから送信され、件名は「Invoice:ID」、続いて請求書番号、そしてアマゾンで使用されているカラーマーカーを含む内容となっており、被害者が数百ドルのテレビやゲーム機を購入したという内容になっています。何か間違いがあれば電話番号を使って連絡するよう受信者に勧めています。
Armorblox社がこの番号に電話したところ、アマゾンのカスタマーサービス担当者になりすました人物が応答しました。電話に出た人物は名前とクレジットカードの詳細を聞いた後、通話を終了し通話をブロックしました。
研究者によると「AMAZ”0″N TEAM」に0を使用することで、Microsoft Exchange Online Protection（EOP）やMicrosoft Defender for Office 365（MSDO）などの既存のスパムフィルターを回避することができたとのことです。このメールにはスパムレベル「1」が割り当てられており、これはメッセージが偽物ではないと判断されたことを意味します。
パンデミックの影響で家にいてもオンラインショッピングの利用が広がり、攻撃者たちは被害者を騙して個人情報を盗む新たな方法を見つけようとしています。
8月には、FBIと米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が共同で、民間企業を狙ったフィッシング攻撃の増加を警告する勧告を発表しています。
Comments