最新レポート：メール攻撃の10件に１件がビジネスメール侵害
2024年6月18日、Tilly Travers
攻撃者が成功の可能性を高めるために戦術を適応・進化させ続けているため、メールベースのソーシャルエンジニアリングによる脅威が急増しています。
バラクーダのリサーチャーによる最新のメール検出データの分析では、大量のフィッシングや一般的な詐欺攻撃が依然として主流である一方で、ビジネスメールの侵害や会話のハイジャックなど、よりターゲットが絞られ、潜在的な被害の大きい脅威が着実に増加していることが明らかになっています。
リサーチャーらは、１年間に450万件のメールボックスで6900万件のメール攻撃を分析しました。この調査結果をまとめたのが、最新の主要なメールベースの脅威とその傾向で、攻撃者が生成 AI の能力を活用して攻撃の規模を拡大しカスタマイズしていること、QRコード、Web 短縮リンク、Web メールを実装してその本質と意図を偽装していることがわかります。
このレポートでは、以下のことが明らかになっています。
- BEC（ビジネスメール侵害）攻撃は、2023年にはソーシャルエンジニアリング攻撃の10.6％（10件に1件以上）を占め、この数字は時間の経過とともに着実に増加しています。BEC攻撃は、2022年には８％、2021年には９％を占めていました。
- 会話の乗っ取りは、過去１年間のソーシャルエンジニアリング攻撃の0.5％を占め、2022年の0.3％と比較して70％近く増加しています。会話ハイジャック攻撃は実行に多くの労力を要しますが、うまくいけば攻撃者の得られるものはとても大きくなります。
- 昨年のソーシャルエンジニアリング攻撃の3分の1（35.5%）がフィッシングによるものでした。このような一般的に標的を絞らない大量攻撃は、被害者をだましてフィッシングリンクをクリックさせようとします。フィッシングメールは何年も前から攻撃者に利用されており、その成功率は依然として高いままです。2024 Data Breach Investigation Reportによると、ひとりの人がフィッシング詐欺に引っかかるまでに要する時間は平均 60 秒未満でした。
- 2023年の最終四半期には、およそ20通に1通のメールボックスが QR コード攻撃の標的にされました。QR コード攻撃は、従来のメールフィルタリング手法では検知が困難です。また、被害者を企業のマシンから引き離し、企業のセキュリティソフトウェアで保護されていない携帯電話や iPad などの個人用デバイスを使用させます。
- Gmail は、ソーシャルエンジニアリングに使用される最も人気のある無料の Web メールサービスでした。バラクーダのデータによると、2023年にソーシャルエンジニアリング攻撃に使用されたドメインの22%は Gmail でした。検出された Gmail 攻撃の半数強が BEC 攻撃に使用されていました。
- bit.lyは、短縮 URL を含むソーシャルエンジニアリング攻撃の40％近くで使用されていました。URL 短縮ツールはリンクを凝縮するため、サイトの実際のリンクはランダムな文字や数字で隠されてしまいます。この手口を使うと、リンクの本当の性質やリンク先を偽装できます。
誰でもソーシャルエンジニアリングのターゲットになります。昨年のデータ侵害の３分の２強（68％）は、「悪意のない」人間的な要素、言い換えれば、自分の仕事をこなそうとしていた普通の従業員が不意打ちを食らったものでした。
BEC や会話の乗っ取りから、恐喝、フィッシング、詐欺、スパムに至るまで、ソーシャルエンジニアリング攻撃を真剣に受け止め、ゲートでブロックするか、侵入された場合は迅速に封じ込め、無力化し、排除する必要があります。
そのためには、適切なセキュリティツール、ポリシー、プログラムを導入することだけが重要なのではありません。IT とセキュリティの専門家は、メールの脅威のエコシステムがどのように進化しているのか、そしてそれがリスク、回復力、インシデント対応という観点から、組織とその従業員にとって何を意味するのかを理解する必要があるのです。
原文はこちら
New report: Business email compromise accounts for 1 in 10 email attacks
Jun. 18, 2024 Tilly Travers
https://blog.barracuda.com/2024/06/18/new-report-business-email-compromise-email-attacks
