増え続けるフィッシング攻撃に対して、企業側でやるべきこと

増加するフィッシング攻撃

冒頭でもお話ししましたが、フィッシング攻撃の報告件数が過去最多を記録しました。フィッシング対策協議会の2025年4月18日のレポートによると、2025年3月で24万9,936件。2024年12月の23万2,290件に対し、17,646件の増加です。

すごく増えています。フィッシング攻撃が、効率的に稼ぐ方法になっているのでしょうか。

なお、これは「報告数」であり、実際には気づいていない、気づいたが報告していないサイトもあり、より多いフィッシングサイトが存在しています。

出典①: フィッシング対策協議会 月次報告書 2025/03 フィッシング報告状況

フィッシング攻撃に対して、Webサイト運営者がやるべきこと

フィッシング対策協議会が公開している「フィッシング対策ガイドライン」では、予防的な対策、被害にあった場合の対応をガイドラインとして整理されています。

この「フィッシング対策ガイドライン」2024年度版では、Webサイト運営者が考慮すべき要件として、22個の要件を上げています。

22個、ほとんど◎(必須項目)となっているのが気になりますが、よくよく読んでいくと、ベーシックなものばかりです。

この中でも、個人的にも悩ましい、要件5と要件21について説明します。

出典②: フィッシング対策協議会 フィッシング対策ガイドライン

「要件5 利用者が安全にサービスを利用する環境を整えるように促すこと」への対応

要件5に対する対応についてお話しする前に、フィッシング攻撃の手法について振り返ります。

フィッシングというのは、正規の組織を装って、電子メールやSMS（ショートメッセージ）などを使い、ユーザーにIDやパスワード、クレジットカード番号などの個人情報を入力させ、盗み取る詐欺行為です。

クレジットカードの対策については、今回は省きますが、「IDやパスワード」については、要はIDとパスワードを入力するのを基本的になしにすればいいのです。要するにパスワードレスを使っていきましょう。

昔は、各ユーザーに追加要素や生体認証のデバイスを配布しないといけませんでしたが、スマートフォンにより、配布は不要になっています。

かつ、FIDO2のWebAuthnでは、デバイスが変わると認証情報の移行ができませんでしたが、Passkeysにより、AppleIDやGoogleの中で、シームレスで使えるようになりました。

フィッシング耐性が高く、ユーザビリティも高い。使わない手はありません。

実装も簡単になっています。アイデンティティアクセス管理サービスであるAuth0では、機能有効化のみ。ECサイトのプラットフォームであるShopifyでも、数クリックで実装することができます。

「要件21 フィッシング検知に有効なサービスを活用すること」への対応

要件21は、利用者からの通知で知るのではなく、自社のなりすましを監視し、検知し、潰せ、ということです。この潰す行為を「テイクダウン」と呼び、不正サイトを閉鎖させることを指します。

我々と我々のお客様を陥れようとしたモノを「潰す」、良い響きです。

弊社では、BlueVoyant Digital Risk Protectionにより、精度高く、フィッシングサイトを潰すことができます。

BlueVoyant Digital Risk ProtectionのWeb Impression機能では、貴社の会社名、ドメインを登録するだけで、類似ドメイン、フィッシングサイト、その他悪意のあるWebページを積極的に検知し、無制限に削除することができます。

なお、潰さないといけないのは、陥れたモノだけで、言論の自由は守らなくてはいけません。

他のテイクダウンサービスの場合、自動的な判断のみで、誤検知が多い場合がありますが、BlueVoyantの場合は、人が介在するため、誤検知が極めて少なく提供できます。

Webサイトだけじゃない、SNSアカウントのなりすましも増加

フィッシングとは少しずれますが、SNSアカウントのなりすましも増加しています。

国民生活センターが、2024年5月に公表したレポートによると、2022年度と2023年度の比較で、相談件数が9.6倍となっています。

SNSでのマーケティングが盛んな中、有名人や信頼のある企業のふりをして勧誘。契約まで持っていく。コスト安く、効率的な販売促進と言っても過言ではありません。

しかし、我々は戦わなければなりません。

出典③: 国民生活センター 2024年5月29日:公表
SNSをきっかけとして、著名人を名乗る、つながりがあるなどと勧誘される金融商品・サービスの消費者トラブルが急増－いったん振込してしまうと、被害回復が困難です！－

被害を減らすのはもちろん、ブランドを守ることが重要

被害を減らすことはもちろん重要です。しかし、自社だけではなく、我々のお客様を守る。お客様を守ることは、ブランドを守ることにつながります。

弊社では、BlueVoyant Digital Risk Protectionを用いて、フィッシングサイト、SNSなりすましアカウントを、効率的に潰していきます。

さいごに

今回はフィッシング攻撃をキーワードに、フィッシング攻撃のWebサイト運営側としての対応をお話ししてきました。

パスワードレスによりセキュリティとユーザビリティを向上しつつ、ブランドを守るための対応を進めていただくきっかけになれば幸いです。

また、セキュリティ対策は、「これだけ」やっていればいいというものではありません。今回要件5で触れた認証関係については、最も狙われやすい部分といえます。端末に保存されたID・パスワード、セッションを盗む攻撃もあります。貴社のお客様を守るために、全体感で対策を考えていただけますと幸いです。

関連製品・サービス

www.marubeni-idigio.com

BlueVoyantのサイバー防御サービス「Cyber Defense Platform」を提供開始丸紅情報システムズ株式会社 MSYSの公式サイト。東京都新宿区。無限のアイデアでお客様の期待を超える価値を創造。ものづく...