米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は、2025年7月に、攻撃グループ「Scattered Spider」に関する注意喚起のドキュメントを公開しました。

図2　Scattered Spider［クリックで拡大］ 出所：CISA

　このドキュメントでは、Scattered Spiderが攻撃手法として、さまざまなツールやマルウェアを駆使して組織を攻撃していることが記されています。中でも特に注目すべきは、IDやパスワードといった認証情報を奪い、不正にログインする手法として、

• 従業員から資格情報を取得し、ネットワークへのアクセスを得るために、電話またはSMSメッセージを使用して、会社のITおよび／またはヘルプデスクのスタッフを装う
• 会社のITおよび／またはヘルプデスクのスタッフを装い、従業員に商用リモートアクセスツールの実行を指示して社内に侵入する
• ITスタッフを装い、従業員にワンタイムパスワード（OTP）やMFA認証コードを共有するように仕向ける

といった「ソーシャルエンジニアリング」の手法が用いられている点です。

　ソーシャルエンジニアリングとは、マルウェアなどのプログラムやネットワークを介するのではなく、心理的なテクニックを駆使して“人”を標的に行われる攻撃です。

　言葉巧みに「ミス」を誘い出し、本来は行ってはならないことや、行うべきではないことを次々に積み重ねさせ、最終的に攻撃者が目指すゴールへと導きます。詐欺師が使うような手口であるため、これを完全に防ぐのは非常に難しく、組織としての対応力が問われる手法といえるでしょう。

　問題は、このテクニックを使って「パスワードをリセットする」ことで、認証を突破しようとしている点が、この注意喚起で指摘されていることです。

　つまり、攻撃対象はヘルプデスクということになります。

　ITシステムとしてのセキュリティ対策がどれほど優れていても、多額の投資をしていたとしても、IDとパスワードが盗まれてしまえば、「正規のユーザー」として正面玄関から内部に侵入されてしまいます。そう考えると、この部分への対策こそが、今まさに優先して取り組むべき課題といえます。