メールの脅威を理解するメールセキュリティの基礎

2024.08.20

2024年8月6日、Sheila Hara

今日のデジタル環境において、メールは企業にとって基本的なコミュニケーションツールです。しかし、そのユビキタス性ゆえに、サイバー脅威の格好の標的となっています。これらの脅威を理解することが、メールのセキュリティを強化する第一歩です。このブログでは、さまざまなメールの脅威の技術的な複雑さと、日々進化するこれらの脅威からビジネスを守る方法をご紹介します。

メールセキュリティとは

メールセキュリティは、メールアカウントと通信を不正アクセスや紛失、あるいは侵害から保護するために使用される技術とテクニックを包含します。メールを介して交わされる機密情報の量が多いため、あらゆる組織のサイバーセキュリティ戦略にとって重要な側面です。強固なメールセキュリティ対策がなければ、企業はデータ漏洩、金銭的損失、風評被害につながるさまざまなサイバー脅威にさらされやすくなります。

テクニック別メールによる脅威

フィッシング：手口と仕組み

フィッシング攻撃は、多くの場合、正当な通信を装って受信者を欺き、機密情報を漏えいさせる脅威として広まっています。主な手口を見てみましょう。

スピアフィッシング：この標的型攻撃は、特定の個人または組織向けにカスタマイズされ、信頼性と成功の可能性を高めるためにパーソナライズされた情報を活用します。
ホエーリング：スピアフィッシングの一種で、組織内の高名な幹部や意思決定者を狙います。ほえーリングのメールは、そうした幹部の権限や機密データへのアクセスを悪用するために綿密に作成されます。
クローンフィッシング：受信者が以前に受け取った正規のメールとほぼ同じコピーを作成し、正規のリンクや添付ファイルを悪意のあるものに置き換えます。

マルウェア：多様で危険

メール経由で配信されるマルウェアは様々な形態があり、それぞれにユニークな特徴と目的があります。

ウイルス：これらの悪意のあるプログラムは、正規のファイルに取り付き、複製されてシステム全体に広がります。データを破損し、ファイルを損傷し、業務を妨害します。
トロイの木馬：トロイの木馬は、良性のソフトウェアを装ってシステムにバックドアを作成し、攻撃者がデータを盗んだり、追加のマルウェアをインストールしたり、不正アクセスしたりすることを可能にします。
ワーム：ウイルスとは異なり、ワームは自己複製を行い、ユーザーの介入なしに拡散します。ネットワークセキュリティの脆弱性を突いて増殖するため、被害が拡大することも多いです。
ランサムウェア：このタイプのマルウェアは、被害者のデータを暗号化し、復号化キーと引き換えに身代金を要求します。ランサムウェアの攻撃は、重要なデータをアクセス不能にすることで、組織を機能不全に陥れます。

ビジネスメール詐欺（BEC）：テクニックと財務への影響

BECは、電信送金やサプライヤーとの取引を行う企業を標的とした巧妙な詐欺です。攻撃者は多くの場合、幹部や信頼できるパートナーになりすまし、従業員をだまして資金や機密情報を送金させます。手口には以下のようなものがあります。

なりすまし：正規のメールアドレスに似せて作成し、信頼できる送信元からの通信であるかのように受信者を欺きます。
メールアカウントの侵害：役員のメールアカウントにアクセスし、不正な要求の送信に使用します。
支払いのリダイレクト：正規の請求書を傍受し、支払明細を改ざんして攻撃者の口座に資金を振り向けます。

BECの経済的影響は甚大で、数百万ドルの損失が発生することもあります。

なりすまし：技術的メカニズムと防止策

なりすまし攻撃は、送信者の身元を偽造して受信者をだますものです。テクニックには次のようなものがあります

メールのなりすまし：メールのヘッダーを操作して、あたかも信頼できる送信元からのメールであるかのように見せかけます。攻撃者はこのテクニックを使ってメールフィルターを回避し、受信者を欺きます。
表示名のなりすまし：送信者のメールアドレスの表示名を変更し、正規の連絡先を装います。これは、メールアドレスではなく名前のみを表示するモバイルメールクライアントで特に効果的です。

予防策としては、SPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）、DMARC（Domain-based Message Authentication, Reporting, and Conformance）などのメール認証プロトコルの導入が挙げられます。これらのプロトコルは、送信者の身元を確認し、なりすましを防ぐのに役立ちます。

主なメールセキュリティ侵害の詳細なケーススタディ

過去の情報漏えいを理解することは、強固なメールセキュリティの重要性を説明するのに役立ちます。以下はその例です。

ソニー・ピクチャーズのハッキング（2014年）：攻撃者がスピアフィッシングメールを使ってソニーのネットワークにアクセスし、未公開映画や従業員の機密情報などの機密データを流出させました。
民主党全国委員会（DNC）のハッキング（2016年）：DNC 関係者を狙ったフィッシングメールにより、メールアカウントが漏洩し、機密の政治情報が流出しました。
ロビンフッドのデータ流出（2021年）：ハッカーが Robinhood の従業員をだましてログイン情報を提供させるフィッシング攻撃を行い、約700万人のユーザーの個人情報を流出させました。
Twilio のデータ漏洩（2022年）：Twilio がフィッシング攻撃を受け、従業員がだまされてログイン情報を提供し、攻撃者が顧客データにアクセスできるようになりました。