ソーシャルエンジニアリングの仕組み
ソーシャルエンジニアは一般的に、 チャルディーニの説得の7つの重要な原則:
- 互恵： 人は、見返りに何かをしてくれる、または約束してくれる人のために何かをする可能性が高くなります。
- コミットメントと一貫性: 誰かが何かをする可能性が高いのは、約束をした後、またはそれが常にそのように行われてきた場合です。
- 社会的証明: 「バンドワゴン効果」とは、人々が人気があると思うことをする可能性が高くなり、他の人が行くようになることを意味します。
- 権限： 人は、権威ある人物に命じられた行動をとる可能性が高くなります。
- 好み： 人は好かれたいと思っていて、もっと好かれたり、恥ずかしい思いをせずに済むようなことをします。
- 払底： 何かが不足している場合、人々はそれをより価値があると見なし、手遅れになる前に急いでそれを手に入れます。
- 統一： 人は、自分が好きな人や共感できる人がやっている、または提案していることをする可能性が高くなります。
最も一般的なタイプのソーシャルエンジニアリング攻撃の多くは、これらの原則の1つ以上を利用しています。 例えば、ビジネスメール詐欺(BEC)の攻撃者は、権威ある人物のふりをして機密情報や金銭を盗みます。 偽の請求書スキームは、コミットメントと一貫性を利用します。企業がベンダーの製品やサービスを使用したと考えると、その代金を支払わざるを得ないと感じます。
ソーシャルエンジニアリング攻撃の種類
フィッシング は、サイバー攻撃で使用される最も一般的なタイプのソーシャルエンジニアリングです。 フィッシング攻撃には、次のようなさまざまな形態があります。
- スピア・フィッシング: スピアフィッシング攻撃は、非常に標的を絞っています。 スピアフィッシングは、ターゲットを徹底的に調査して攻撃を調整し、成功の確率を最大化します。
- 捕鯨： 捕鯨攻撃は、上級管理職を標的としたスピアフィッシング攻撃です。 これらの攻撃は、正規の電子メールに見せかけ、受信者の権限と権力を利用しようとするように設計されています。
- BEC攻撃: BEC攻撃では、攻撃者は組織内の権威者や企業のベンダーやサプライヤーになりすまします。 これらの攻撃は、通常、機密情報を盗んだり、従業員が攻撃者に送金したりするように設計されています。
- スミッシング: スミッシング攻撃は、SMSテキストメッセージを介して実行されるフィッシング攻撃です。 これらの攻撃は、企業が顧客に連絡するためにSMSを使用することが増えており、リンク短縮サービスを使用してリンクの宛先を隠すことができるという事実を利用しています。
- ビッシング: ビッシングとは、ボイスフィッシングの略です。 これらの攻撃は、フィッシングと同じ影響力の手法を多く使用しますが、電話で行われます。
ソーシャルエンジニアリング攻撃の手法
ソーシャルエンジニアは、心理学を利用して影響力を行使するだけでなく、攻撃にトリックを使用するのも一般的です。 フィッシング攻撃で使用される一般的な攻撃手法には、次のようなものがあります。
- 悪意のあるリンク: フィッシングメールには、フィッシングやその他の悪意のあるサイトへのリンクが含まれているのが一般的です。 これらのリンクとそれらが一般的に指すサイトは、正当なサイトのように見えるように設計されています。
- 感染した添付ファイル: フィッシングメールには、マルウェアが添付されていたり、マルウェアをダウンロードするファイルが含まれている場合があります。 Microsoft Officeマクロと悪意のあるPDFは、一般的な悪意のある添付ファイルです。
- 類似アドレス: フィッシングメールをリアルに見せるために、フィッシング詐欺師は類似アドレスを使用する場合があります。 正規のドメインに似ているメールアドレスは、一目見て受信者を騙す可能性が高くなります。
ソーシャルエンジニアリング攻撃を防ぐには?
フィッシングやその他のソーシャルエンジニアリングスキームは、企業のサイバーセキュリティにとって大きな脅威です。 おすすめの方法 ソーシャルエンジニアリング攻撃からの保護 含める：
- 従業員教育: 従業員は、直面しているソーシャルエンジニアリングの脅威を最もよく検出して対応するために、その脅威について知る必要があります。 このトレーニングの重要な部分は、さまざまな種類のフィッシング攻撃を識別する方法と、フィッシングが電子メールに限定されないという事実です。
- 多要素認証 (MFA): ソーシャルエンジニアリング攻撃は、通常、企業リソースへのアクセスに使用できるログイン認証情報を標的としています。 MFAを企業全体に展開すると、攻撃者がこれらの侵害された認証情報を利用することがより困難になります。
- 職務の分離: ソーシャルエンジニアリング攻撃は、ターゲットを騙して機密情報や金銭を攻撃者に送らせることを目的としています。 プロセスは、支払いやその他のリスクの高いアクションに複数のサインオフが必要になるように設計し、誰もが不正、詐欺、不正行為にだまされる可能性を減らす必要があります。
- Antivirus and Antimalware: フィッシング攻撃は、通常、標的のコンピューターにマルウェアを配信するように設計されています。 アンチウイルス また、マルウェア対策保護は、これらの攻撃を特定してブロックするために不可欠です。
- メールセキュリティソリューション: フィッシング詐欺師は、さまざまな手法を使用して、メッセージをよりリアルに見せかけ、受信者をだまします。 メールセキュリティソリューション 電子メールをスキャンして不審なコンテンツを検出し、受信者に配信する前にメッセージや添付ファイルから悪意のある可能性のあるコンテンツを取り除くことができます。
チェック・ポイントによるソーシャルエンジニアリングの防止
フィッシングは、企業のサイバーセキュリティに対する最大の脅威の1つであり、マルウェアやデータ侵害の一般的な攻撃ベクトルです。 チェック・ポイントとアバナーンは、さまざまなメールベースのソーシャルエンジニアリング攻撃に対する包括的な保護を提供するメールセキュリティソリューションを開発しました。 フィッシングやソーシャルエンジニアリングから組織と従業員を保護する方法については、 無料デモに申し込む.
フィードバック