宮田健の「セキュリティの道も一歩から」（90）

カモと思われぬよう、製造業も地道なフィッシング対策を（1/3 ページ）

「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策の話。今回は、製造業でも対策が必要な「フィッシング」について考察したいと思います。

公開 2023年10月20日 09時00分

更新 2023年10月19日 08時11分

著者

宮田健

[TechFactory]

印刷する連載新着通知を受け取る

　いま、個人をターゲットとしたサイバー攻撃は、10年ほど前とは大きく姿が変わってきています。かつてはPCには必ずウイルス対策ソフトを別途購入し、コンピューターウイルス（現在ではマルウェアと呼ぶのが一般的になりました）から身を守ってもらうため、毎年ライセンスを更新していたと思います。しかしいまではOS標準で動いているMicrosoft Defenderでほぼことが足ります。逆に、サードパーティー製のウイルス対策ソフトはOSのアップグレードに追従できなかったり、ウイルス対策ソフト自身の脆弱性や設定ミスが問題になりがちという、なかなか厳しい時代になりました。

　現在ではマルウェアよりも、むしろ「フィッシング」が攻撃手法の中心にあると考えてよいでしょう。フィッシングで偽サイトにIDとパスワードを入力させてしまえば、芋づる式にパスワードを使い回している他のサイトへも影響が波及します。そのため、セキュリティを考えるとき、まずはこのフィッシングをどうするか、という点を考える必要があるでしょう。

　実はこれ、個人だけでなく「組織」でも、非常に重要な観点なのです。“フィッシング”は製造業とはやや遠い話に聞こえるかもしれませんが、そう判断するのはまだ早いです。

フィッシングの狙いどころ

　フィッシング対策協議会は、フィッシングの傾向を月次報告書の形で公開しています。最新の2023年9月の状況を見てみましょう。

フィッシング対策協議会　Council of Anti-Phishing Japan | 報告書類 | 月次報告書 | 2023/09 フィッシング報告状況

正直なところ、フィッシングの件数の傾向は攻撃者次第で、攻撃者ががんばれば増えますし、手を抜けば下がるというもので、減った、増えたで一喜一憂できないというのが実情です。個人的に気になっているのは、今回のレポートでも触れられている「フィッシングに悪用されたブランド件数」です。

図1　フィッシングに悪用されたブランド件数の推移（出所）

　これを見ると、2023年9月は前月に比べ減っており、傾向としても純減していることが分かるでしょう。フィッシング対策協議会はこれについて、「DMARC」「SPF」「BIMI」といったメールなりすまし対策の技術を導入せよ、と述べています。特に「BIMI」と呼ばれる技術では、利用者からもメールのアイコンが変化し、この部分でなりすましではない“可能性が高い”と分かります。個人的にウォッチしているなかでも、徐々に著名サービスでBIMIのアイコンが採用されていることが分かります。ぜひ、皆さんも次にメールを見るときに、このアイコン部分をチェックしてみてください。

図2　Gmailを見ていると、差出人のアイコンが表示されているものがいくつかある。これがなりすまし対策の「BIMI」に対応した企業のメールだ

　フィッシングに使われるブランドが減少しているということは、これらのなりすまし対策を行っていない事業者が、集中して狙われる可能性があることを示唆しています。攻撃者は狙いやすい対象を狙います。「減少傾向にあるのは良いことだ」としか読み取れず、対策を怠った場合、その減少した中に、あなたの組織が含まれるかもしれません。

次ページへ対策は「見分けない」？