オンラインショッピングがフィッシング騒動を助長している方法

COVID-19によるロックダウン、在宅勤務、そして祝祭シーズンに向けた準備が、オンラインショッピングの前例のない増加を引き起こし、フィッシング攻撃にとって完璧な機会となっています。

オンラインショッピングの台頭

COVID-19とロックダウンのおかげで、2020年はオンラインショッピングにとって最高の年となりました。私たちはすでにオンラインショッピングを愛していました---人混みもなく、旅行も必要なく、手間もかからない---しかし、今年は利便性が主な利点として実用性に取って代わりました。ロックダウンの中で生活し、自己隔離の期間を過ごし、非必需品の買い物はせず、多くの店舗がスタッフの問題で閉鎖されている中で、オンラインショッピングは多くの人にとって命綱となりました。

アマゾンは第3四半期の収益が961億5000万ドルで、37％の増加を報告しました。第4四半期の収益は1120億ドルから1210億ドルになると予測しています。祝日の季節が近づくにつれて、オンライン販売は再び急増するでしょう。アマゾンは、11月にはすでにホリデー購入が始まっていると報告しています。

もちろん、オンラインショッピングにはアマゾンだけではなく、もっと多くの選択肢がありますが、彼らはトレンドを示すための便利な基準です。多くの消費者はまだ店舗での買い物に対して恐れを抱いています。人混みのことを考えると心配し、ソーシャルディスタンスのガイドラインが守られないと考え、多くの人がマスクを着用しないと疑っています。家からショッピングする方がずっと簡単です。

在宅勤務をしていない方の中であれば、オンラインで注文して、職場に商品を配達してもらうことができます。もしあなたがそこにいない場合、同僚が代わりにサインして、あなたの配達を受け取ってくれます。

それがオンラインショッピングの唯一の欠点です。配達です。

配送不安

ある時点で、数百万ものオンライン購入はデジタルの世界を離れ、物理的な世界に具現化しなければなりません。それは、あなたの注文が届いた時だけに起こります。配達を待つことはストレスになることがあります。特に、それが重要な配達の場合です。それが高価な物だからではなく、単にそのアイテムが誕生日、記念日、あるいは他の動かせない締切に間に合うようにあなたに届けられることを期待しているからかもしれません。

配達を待っていると、じわじわと不安感が湧いてくるのは簡単です。遅れているのだろうか？間違った住所に配送されてしまったのか、それとも手違いがあってまだ出発送されていないのか？支払いの確認に何か問題があったのだろうか？

そして、そこに我々の機会主義的で季節的な脅威アクターが登場します。何百万ものオンライン販売があるため、配送も何百万件あります。それは発送についてのメールを受け取っても驚かない人々が非常に多いということです。それで、脅威アクターはその期待を利用し、できるだけ多くの人に羊の皮をかぶったオオカミのようなメールを送ります。

フィッシングメール

フィッシングメールとは、銀行や企業、オンライン決済プラットフォームなど、認識されたり信頼されたりする組織から送信されたように見える詐欺メールのことです。より巧妙な攻撃では、本物のメールと同じ見た目や雰囲気を持たせるために、非常に多くの努力がなされます。正しいトーン、正しいデザイン、説得力を持たせることが求められます。そして、受信者にそのメールが本物であると信じ込ませ、リンクをクリックさせたり、添付ファイルを開かせたりしたいのです。

そのリンクは、ログイン情報を収集しようとする偽のウェブサイトに誘導されるか、あなたのコンピュータにマルウェアを感染させようとします。添付ファイルがある場合、それは通常、小さなドロッパーまたはダウンローダプログラムの形でマルウェアを含んでいます。これにより、バックグラウンドで自動的にインストールされ、その後はより大きく、かつより危険なマルウェア、例えばリモートアクセス型トロイの木馬（RAT）や多くの身代金要求型ウイルスの脅威がダウンロードされることがあります。

脅威のアクターはトレンドに非常に迅速に反応します。彼らは既存の詐欺を再デザインし、瞬時に今シーズンの色合いで持ち出すことができます。彼らを隠す簡単な方法は、宅配便からのものであるように見せることです---なぜなら、何百万もの人々が配達を待っていることを知っているからです。また、彼らはPayPalなどの支払いサービスからのものであるように見せかけ、支払いに問題があると主張するかもしれません。しかし、すべての人がPayPalを使用しているわけではありません。そして、もしあなたがそれを使っていなければ、これは詐欺であるとすぐに分かるでしょう。しかし、もしあなたが配達を待っている場合、宅配便が関与することは分かっています。

広く普及した配送不安の現象を利用して、脅威アクターは、受取人が配送に関するメールを見て「うわ、やばい！」と心の中でため息をつき、そのままリンクをクリックしたり添付ファイルを開いたりして、メールが本物であるかどうかを確認することすら考えずに行動することを望んでいます。そして、このように配送不安が基本的なサイバー衛生を覆いかぶさってしまうのです。

フィッシングに関連するのがスミッシングで、これはSMSテキストメッセージによるフィッシングです。テキストメッセージは短く簡潔な媒体であるため、メッセージの見た目や雰囲気を考慮する必要はありません。SMSは誰が送信してもSMSのように見えます。脅威の行為者は、正しいフォント、ロゴ、声、トーンを見つける心配をする必要はありません。また、文字数制限が低いため、テキストメッセージでは短縮URLが一般的であり、疑いを引き起こすことはありません。

誰もが標的だ

侵害された個人情報を含む巨大なデータベースから取得したメールアドレスを使用して、脅威の行為者は文字通り数百万の受信者に偽のメールを送信することができます。あなたが特別に標的にされているわけではありません。あなたのデータが過去のどの時点かでデータ侵害に含まれていたため、単に標的となっているのです。これは狙撃ではなく、盲目的な機関銃のように発砲し、その後誰が被弾したかを確認しているのです。

データ漏洩のために自分のメールアドレスが露出しているかどうかを簡単に確認できます。「Have I Been Pwned」ウェブサイトは、すべてのデータ漏洩を集め、100億件以上のレコードからなる検索可能なオンラインデータベースにまとめています。もしあなたのメールアドレスがデータベースに見つかれば、どの企業やウェブサイトでその漏洩が発生したかが通知されます。その後、そのサイトでパスワードを変更するか、アカウントを閉じることができます。

しかし、あなたのメールアドレスに関してはあまり何もできません。一度公開されてしまうと、もうどうすることもできません。そして、おそらくそれは脅威者がフィッシングキャンペーンのソフトウェアに投入する弾薬の一部として拾われるでしょう。

携帯電話番号についても同じ原則が当てはまります。個人データが漏洩するデータ侵害には、携帯電話の詳細が含まれることがよくあります。これらは脅威行為者が使用する自動SMSソフトウェアの対象番号として使われます。

なぜ組織は警戒する必要があるのか

人々の家庭でのデジタルライフとビジネスでのデジタルライフの境界が曖昧になっています。人々は自分の携帯電話などのデバイスを職場に持ち込み、Wi-Fiに接続します。自宅でオンラインショッピングをしても、日中にいる場所が職場の場合は、しばしば配送先を職場に選ぶのです。

つまり、宅配便のメールを装ったフィッシングメールが彼らのビジネスの受信トレイに届いても、彼らは驚かないということです。配達に対する彼らの関心は、フィッシングメールの見分け方に関するスタッフの意識向上トレーニングを上回る可能性があります。

彼らは携帯電話でフィッシングメールを受け取り、それをビジネスメールに転送して印刷したり、大きな画面と実際のキーボードで対処したりするかもしれません。彼らは昼休みに企業のコンピュータを使って個人のウェブメールにアクセスすることもあります。フィッシングメールが誰かのビジネスの受信トレイや企業のコンピュータに届く経路に関係なく、リスクにさらされているのはあなたの組織のネットワークです。

攻撃を見分ける方法

これらの行動は、あなたのスタッフとネットワークをフィッシングやスミッシング攻撃から安全に保つのに役立ちます。

実際に配達を期待していますか？注文したものはすでにすべて把握していますか？
送信者のメールアドレスを注意深く確認してください。それはあなたが期待するドメインを持っていますか？もし違う場合は、疑ってください。しばしば1文字の違いがあることがあります。これにはいくつかのよく知られた例があります。一つは「microsoft.com」と見えましたが、最初の「m」が2文字の「r」と「n」に置き換えられていました。一見すると「rn」は「m」に見えます。二つ目の例は「apple.com」で、小文字の「l」が大文字の「I」に置き換えられています。いくつかのフォントでは、これらは全く同じに見えます。なので、メールアドレスの各文字を注意深く見てください。ざっと見るだけや斜め読みはしないでください。
リンクを潜在的な罠として扱いましょう。その上にマウスポインターを置いて、ツールチップを確認して、どこに誘導しようとしているのかを見てください。リンクのテキストは自由に設定できますが、それがリンクの実際の指し示す場所ではないということを意味します。疑問がある場合は、そのリンクを使用しないでください。ウェブ検索を行い、サイトに手動でアクセスしてください。
最善の努力にもかかわらず、脅威の行為者は文法やスペリングでミスをすることがあります。本物のメールにはこの種のエラーはなく、特に自動システムから送信された場合はそうです。見た目が間違っているなら、それは間違っています。
グラフィックとリバリーはプロフェッショナルに見えますか、それとも誰かが画像を切り取って貼り付けて背景の白のバージョンと完全に一致しないように見えますか？
信頼できる組織は、あなたにパスワードやアカウントの詳細、その他の敏感な情報を提供するように求めることはありません。
脅威アクターがメールアドレスや携帯電話番号の元となるデータ侵害は、他の個人データも含まれていることを忘れないでください。そのため、メールやSMSのテキストにあなたの名前を使うのは簡単です。あなたの名前が記載されているからといって、それが本物のメールやSMSであるとは限りません。引き続き警戒し、注意を払う必要があります。