フィッシングは、利用者自身にIDやパスワードを入力させて認証情報を奪う手口です。システムの脆弱性を突くのではなく、正規の連絡や画面を装って人に操作させるため、技術的な防御だけでは塞ぎきれません。一方で、「気をつけましょう」という注意喚起だけを対策の中心に置くと、いずれ限界がきます。この記事では、フィッシングの手口の類型を整理したうえで、人の判断に依存せずに被害を止めるために認証側で何ができるかを解説します。不正アクセス全体の見取り図は不正アクセスの基本でも扱っています。
フィッシングとは何をされる手口なのか
フィッシングでは、攻撃者はまず正規のサービスや取引先、社内の連絡を装ったメッセージを送り、そこから偽のログイン画面へ誘導します。利用者がそこにIDとパスワードを入力すると、その内容がそのまま攻撃者の手に渡ります。つまり、攻撃者はパスワードを推測する必要も、システムに侵入する必要もありません。すでに正しい認証情報を持った状態から始められる点が、この手口の厄介さです。
流出済みのIDとパスワードの組み合わせを大量に試すリスト型攻撃とは、認証情報の入手経路が異なります。リスト型攻撃が「どこかで漏れたものを使い回す」ものであるのに対し、フィッシングは「その組織の利用者から直接取る」ため、対象を絞った攻撃になりやすいという違いがあります。
見分けるのが難しくなっている理由
フィッシングに気づけなかった利用者の注意力が足りなかった、という捉え方は実態に合っていません。見分けにくくなっている理由は、主に次のような点にあります。
- 体裁が本物と区別しづらい — 見た目や文面の自然さだけで真偽を判断できる場面は減っています
- 業務上ありうる内容に合わせて送られる — 実際に届いてもおかしくない用件の形をとるため、疑う理由が生まれにくくなります
- 急かす文脈で判断の余裕を奪う — 期限や停止をにおわせる文脈に置かれると、確認より先に操作してしまいます
- 確認手段が限られる — 送信元や宛先の表示だけでは判断がつかず、その場で裏取りできないことがあります
これらは個人の資質の問題ではなく、判断の条件そのものが不利になっているという話です。対策を考えるときも、この前提から出発する必要があります。
訓練や注意喚起の効果と、その限界
訓練や注意喚起が無意味なわけではありません。不審に思ったときに立ち止まる、相談するという行動が生まれるだけでも意味があります。ただし、限界もはっきりしています。フィッシングは、組織の中で一人が入力してしまえば成立します。全員が常に見抜き続けることを前提にした対策は、母数が増えるほど成り立たなくなります。
したがって訓練は、「これで防ぐ」ためのものではなく、気づいた人が早く申告できるようにするための下地と考えるほうが実態に合います。防ぐ部分は、人以外の仕組みに担わせます。
認証側で被害を止めるという考え方
フィッシング対策の要点は、認証情報が渡ってしまっても、それだけではログインできない状態にしておくことです。IDとパスワードだけで入れる設計のままでは、入力させられた時点で結果が決まってしまいます。追加の要素を要求する認証にしておけば、渡された情報だけでは足りなくなります。
さらに、方式によっては入力させて奪うという手口そのものが成立しにくいものがあります。利用者が何かを打ち込んで渡すのではなく、正しいサイトに対してのみ応答する仕組みに寄せていく発想です。この考え方と具体的な選択肢はハードウェアセキュリティキーの解説で扱っています。業務端末そのものへのログインを強化する観点はWindows OSログインの2要素認証を参照してください。
認証強化だけでも完結しない部分
一方で、認証を強くすれば終わりというわけでもありません。認証を経た後の状態を狙う類型や、認証の手前で利用者の操作に相乗りする類型は残ります。どこまでが防げてどこからが残るのかは、2要素認証が回避されうる経路で整理しています。
もう一つ残るのが、パスワードを忘れた・端末を失くしたといった復旧の窓口を狙う類型です。認証をいくら強くしても、本人確認の甘い迂回路があればそこから入られます。この論点はパスワードリセット窓口のなりすまし対策で扱っています。
組織として用意しておくこと
フィッシングは、起きる前提で手順を用意しておく領域です。最低限、次の4点を決めておくことをおすすめします。
- 責めずに申告できる窓口と手順 — 入力してしまったときに、どこへ何を伝えればよいかを事前に周知しておきます
- 申告後の停止と変更の流れ — 該当アカウントの利用を止め、パスワードと認証情報を変更するまでを一連の手順として定めます
- 不審なログインに気づける仕組み — 見慣れない環境や時間帯からのログインを確認できる状態にします(不審なログインの確認方法)
- 重要なアカウントから優先して強化する — すべてを一度に変えられない場合、影響範囲の大きいものから順に着手します
なお、認証情報が実際に外部へ渡ってしまった後、どこまで影響が広がりうるかと初動の考え方はパスワード漏洩の影響と初動対応でまとめています。
申告しやすさが被害の大きさを決める
同じ入力ミスでも、その後の被害の大きさは組織によって大きく変わります。分かれ目になるのは、申告までにかかった時間です。責める文化のある組織では、本人が事の重さに気づいていても言い出せず、報告が遅れます。その間に攻撃者はログインを済ませ、別のアカウントへ広げていきます。
逆に、入力してしまった時点ですぐ申告が上がる組織では、アカウントを止めるまでの時間が短くなり、被害はその1件でとどまりやすくなります。申告のしやすさは、心情の問題ではなく実務上の防御力です。手順を整えるのと同じくらい、申告した人が不利にならない運用を明示しておくことが重要です。
まずは自社の状況を確認する
フィッシングにどこまで耐えられるかは、認証の方式と、入力してしまった後の手順が用意されているかで決まります。applippliの無料診断では、約3分の質問に回答するだけで、自社の認証・アカウント管理の対応状況を確認できます。まずは現状を把握し、優先して手を入れる箇所を見極めるところから始めてみてください。