フィッシングは聞いたことがあるでしょう。しかし、ソーシャルエンジニアリング攻撃には、被害者をより特定の方法で欺くサブカテゴリがあります。その一つがベイティングです。
ベイティング攻撃とは、攻撃者が価値のあるもの、または正規のものに見える何かを提示し、被害者に機密情報を開示させたり、悪意のあるソフトウェアをインストールさせたりする攻撃です。「餌」には、信頼できるサービス（銀行、ソーシャルメディアプラットフォーム、オンライン小売業者など）を模倣した偽サイトや、知っている送信元から届いたように見えるメールなどがあります。
ベイティングメッセージは、無料送金、懸賞の当選、「重要な」ダウンロードなど、魅力的な報酬や緊急の機会をうたうことがよくあります。最近の攻撃者は、人工知能を使ってこうした誘いをより説得力のあるものにし、洗練された高度にターゲット化されたメッセージを数秒で複数の言語で生成するため、検出がさらに難しくなっています。
ベイティング攻撃の見分け方と防止策
ベイティングは、人間の心理、特に好奇心、欲、恐怖につけ込むソーシャルエンジニアリングの一種です。攻撃者は価値があると思わせるものを提示し、被害者を操作して、セキュリティを損なう行動を取らせます。
たとえば、銀行口座のパスワードを変更する必要があると主張し、一見正規に見えるリンクを含むメールが届くことがあります。クリックすると、ログイン認証情報を盗み取ったり、マルウェアのダウンロードを実行させたりするよう設計された悪意のあるWebサイトに誘導されます。ほかにも、「あなたのアカウントがハッキングされました。復旧するにはここをクリックしてください」といった緊急性を悪用し、被害者に考える前に行動させる誘いもあります。
こうした攻撃が成功すると、個人情報や金融情報の窃取、アカウント乗っ取り、さらなる侵害を可能にするマルウェア感染につながる可能性があります。
ベイティング攻撃のタイプ
ベイティング攻撃にはいくつかの形態があり、それぞれ異なる脆弱性や配布経路を悪用します。
物理的ベイティング – 最も古い手法の一つで、感染したUSBドライブや外付けハードドライブなどの物理的なアイテムを、意図的に公共の場所に置いておくものです。そのデバイスを接続すると、気づかないうちにマルウェアがインストールされ、攻撃者が機密システムやファイルにアクセスできるようになります。
デジタルベイティング – オンラインで行われ、偽のプレゼント企画、無料ソフトウェアの提供、悪意のあるリンクなどを使うことが多い手法です。ユーザーにマルウェアをダウンロードさせたり、個人情報を入力させたりするよう仕組まれています。デジタルベイティングは大規模な対象に届きやすく、正規のオファーを装うことがよくあります。
スピアベイティング – 攻撃者が特定の個人や組織に合わせて誘いをカスタマイズする、高度に標的化されたベイティングです。被害者の役割、関心、既知の課題に合わせて餌を調整することで、攻撃の成功率を高めます。
こうしたバリエーションと、それらが悪用する心理的トリガーを理解することは、ベイティングの試みを成功させないための防御を構築するうえで重要です。
ベイティング攻撃の手口
ベイティング攻撃の手口は心理的操作に依存しており、人間の好奇心、緊急性への反応、一見無害なオファーを信じやすい傾向を悪用します。一般的な例としては、ソフトウェア、音楽、映画などの無料ダウンロードがあり、被害者を悪意のあるWebサイトへ誘導したり、マルウェアをインストールさせたりします。こうしたサイトは本物らしく見えることが多い一方で、個人情報、ログイン認証情報、さらには企業の機密情報を盗むよう設計されています。
よく使われる別の手口は、架空の脅威や緊急メッセージを作り出し、標的に悪意のあるリンクをクリックさせたり、感染した添付ファイルを開かせたりするなど、素早い行動を迫ることです。ベイティングはフィッシングやその他のソーシャルエンジニアリング手法と重なることが多く、説得力のある文言、偽装されたブランド表示、標的に合わせたパーソナライズなどを使って、アカウントへのアクセス、マルウェアの拡散、価値あるデータの持ち出しを狙います。
根底にある戦略は一貫しています。信頼と好奇心を悪用して技術的な防御を迂回し、ユーザー自身にセキュリティを損なわせるのです。こうした手口を見抜き、魅力的または不安をあおるメッセージに反射的に行動したい衝動を抑えることは、ID窃取、データ損失、金融詐欺を防ぐために不可欠です。
ベイティング攻撃の実例
ベイティングの有効性を示す注目すべき事例がいくつかあります。
オーストラリア国税庁のなりすまし（2017年）：詐欺師は、公式の税務書類が入っていると称して、中小企業にUSBドライブを郵送しました。受取人がデバイスを接続するとマルウェアがインストールされ、攻撃者は財務データを盗み、業務システムを侵害できるようになりました。
Google Docs「招待」攻撃（2017年）：攻撃者は、正規のGoogle Docs共有招待に見えるものを数百万人のユーザーに送信しました。リンクをクリックすると悪意のあるアプリの承認リクエストに誘導され、承認すると、攻撃者は被害者のGoogleアカウントと連絡先リストにアクセスできるようになりました。餌となったのは身近で信頼できるサービスであり、デジタルベイティングの明確な事例です。
Stuxnet USBインシデント（2010年）：感染したUSBドライブが、イランの核施設の近くに意図的に置かれました。それを拾って接続した従業員は、知らないうちに重要システムにマルウェアをインストールしてしまい、大規模な運用障害を引き起こし、機密データも侵害されました。これは今でも、物理的ベイティングの最も有名な例の一つです。
これらの事例は、物理的およびデジタルのベイティングの危険性に加え、同様の侵害を防ぐための意識向上トレーニング、厳格なデバイス取り扱いポリシー、プロアクティブなセキュリティ対策の重要性を浮き彫りにしています。
このインタビューを見ると、元NYTサイバーセキュリティ記者のNicole PerlrothからStuxnetについて詳しく学べます。
ベイティング攻撃を検出し回避する方法
ベイティング攻撃は、標的を欺いて有害な行動を取らせ、認証情報を盗み取ったりマルウェアをインストールさせたりすることを目的としています。フィッシングやその他のソーシャルエンジニアリング手法と多くの特徴を共有しており、本物らしく見えるメール、Webサイト、ダウンロードを使って被害者を操作します。AIの進歩により、こうした誘いは今や、より説得力があり、多言語対応で、検出が難しいものになっています。
ベイティングの手口は進化し続けていますが、次の対策はリスクの軽減に役立ちます。
予期しないメッセージやリンクを疑う
信頼できるブランドや同僚から届いたように見えても、一方的に送られてきたメール、テキストメッセージ、ダイレクトメッセージには注意してください。攻撃者は、認証情報を収集しデバイスを感染させるために、偽サイトを作成したり、悪意のあるダウンロードを埋め込んだりすることがよくあります。予期しない「無料オファー」、緊急アラート、賞品通知には、常に疑いの目を向けましょう。
送信者とリンクの真正性を確認する
クリックする前に、リンクにカーソルを合わせ、表示されているURLと一致していることを確認してください。メールクライアントで完全なリンクが表示されない場合は、テキストエディタにコピーして確認します。HTTPSではなくHTTPを使うリンクには注意し、短縮URLは実際の遷移先を隠せることを覚えておきましょう。攻撃者は、メール、印刷物、さらには公共の場に悪意のあるQRコードを使い、被害者を危険なサイトにリダイレクトすることもあります（クイッシングとして知られる、増加中の手口です）。
強力なパスワードと二要素認証（2FA）を使用する
弱いパスワードや使い回しのパスワードは、攻撃者がベイティング詐欺で盗んだ認証情報を悪用しやすくします。すべてのアカウントで、16文字以上で、大文字・小文字・数値・記号を組み合わせた強力で一意のパスワードを使用してください。可能な限り2FAを有効にし、認証アプリ、ハードウェアのセキュリティキー、またはSMS（SMSは比較的安全性が低い）を通じて、アカウントアクセス前に追加の確認レイヤーを追加しましょう。
「礼儀正しく疑い深く」あることについて詳しくは、こちらのハッカーRachel Tobacによる電子書籍。
人的要因に対処する
ベイティングは、好奇心、緊急性、セキュリティ意識の隙を悪用します。従業員が不明なUSBドライブを差し込んだり、不正なQRコードをスキャンしたり、悪意のあるリンクをクリックしたりすれば、どれほど優れた技術的防御も回避される可能性があります。
組織は、ベイティングの仕組みを説明し、外部デバイスの安全な取り扱いを徹底し、ソーシャルエンジニアリングの手口を見分ける方法を従業員に教える、定期的なサイバーセキュリティ意識向上トレーニングを提供する必要があります。私物デバイスの持ち込み（BYOD）プログラムを導入している企業では、暗号化、セキュリティパッチ、エンドポイント保護など、個人デバイスが会社支給のハードウェアと同じセキュリティ要件を満たし、侵害された個人デバイスがベイティング攻撃の侵入口にならないようにすることも同様に重要です。従業員が行動する前に立ち止まって確認する文化を育むことで、ベイティング攻撃の成功率を大幅に下げることができます。
ベイティング攻撃に対抗する多層的なセキュリティ対策
多層的なセキュリティ戦略は、物理的およびデジタルのベイティング攻撃から防御する最も効果的な方法の1つです。複数の保護策を組み合わせることで、攻撃者の成功をはるかに困難にできます。
技術的対策：
多要素認証（MFA）：ログインに追加の確認ステップを加え、盗まれた認証情報を攻撃者が悪用しにくくします。
メールセキュリティフィルタリング：疑わしい送信者をブロックし、フィッシングコンテンツが受信トレイに届く前にフィルタリングします。
フィッシング対策およびマルウェア対策ツール：メール、添付ファイル、ダウンロードをスキャンして悪意のあるコンテンツを検出します。リンク保護や添付ファイルのサンドボックス化などの機能により、脅威が実行される前に無力化できます。
信頼できるウェブブラウザー：組み込みのセキュリティ機能とフィッシング保護を備えたブラウザー（Brave、Firefox、DuckDuckGoなど）を使用します。
ウイルス対策とエンドポイント検知：マルウェアを検知して削除し、接続されたデバイスをスキャンして、悪意のあるコードの実行を防ぎます。
ネットワークセキュリティ：強力なファイアウォールや侵入検知／防止システムを導入し、脆弱性を解消するためにソフトウェアとOSを定期的に更新します。
ポリシーとトレーニング：
セキュリティ意識向上トレーニング：ベイティングの模擬演習を含め、ベイティングの手口に関する教育を定期的に実施し、従業員が脅威を認識してレポートできるようにします。
明確なポリシー：デバイスの取り扱い、外部メディア、BYODの利用に関するルールを定め、物理的およびデジタルの攻撃対象領域を減らします。
積極的なコミュニケーション：新たな脅威について従業員に最新情報を共有し、定期的なリマインダーを通じて安全な実践を徹底します。
インシデント対応計画
どれほど優れた防御でも回避される可能性があるため、被害を最小限に抑えるにはインシデント対応計画が不可欠です。
封じ込め：影響を受けたシステムを隔離し、攻撃の拡大を止めます。
緩和：インストールされたマルウェアをすべて削除し、悪用された脆弱性を解消します。
復旧：安全なバックアップからシステムを復元し、ネットワークに再接続する前にクリーンであることを確認します。
調査：攻撃がどのように発生したかを特定し、防御上のギャップを明らかにします。
ベイティング攻撃から効果的に保護するには、堅牢な技術的対策と人の意識、組織としての備えを組み合わせた多層的なアプローチが必要です。定期的なセキュリティトレーニングによって従業員はソーシャルエンジニアリングの手口に警戒を保ち、強力なアクセス制御とデータ暗号化によって攻撃が成功した場合の潜在的な被害を抑えられます。最も重要なのは、組織がインシデント対応手順の訓練を定期的に実施し、新たな脅威やセキュリティインシデントから得た教訓に基づいてセキュリティ対策を継続的に更新することです。この包括的な戦略により、サイバーセキュリティは事後対応型の姿勢から、時間とともに適応し強化できる予防的な防御へと変わります。
Bitwardenとセキュリティ意識向上トレーニングで継続的な警戒を確保する
最後に、Bitwardenのような強力で使いやすいパスワードマネージャーを活用することが重要です。パスワードマネージャーを使えば、企業はスタッフが強力で一意のパスワードを使用していることを確実にでき、これはベイティング攻撃への非常に有効な第一歩となります。以下についても必ず確認してください：デジタルフットプリントを保護する方法、2段階ログインを設定する方法、およびパスワードの強度をテストする方法。