フィッシング攻撃はますます激化--その実態は

　情報セキュリティ企業Wombat Security Technologiesは1月、フィッシング攻撃に関する現状を詳しく説明したレポート「2016 State of the Phish」を発表した。この調査レポートでは、フィッシング攻撃は数の上でも増えているが、実際に使用される場面での複雑さも増していることが明らかになった。

　多くの企業人は（特にIT部門の人間であれば）、フィッシング攻撃が現在でも大きな脅威であることは理解しているはずだ。2015年には、実に調査対象の85％がフィッシング攻撃の被害を受けていたことが明らかになっており、この数字は前年比で13％増えている。さらに調査対象の60％が、フィッシング攻撃の頻度が全体として増えていると感じていた。

　また、調査対象の42％は攻撃が原因でマルウェアに感染したと述べており、22％がアカウントの侵害を受け、4％はデータ損失を被っていた。最も多かったフィッシング攻撃の形式は、人事部門から送付される文書などの職務上のメールを装ったものだ。実際、レポートでは、「緊急の電子メールパスワード変更のお願い」を装った攻撃では、平均クリック率が28％に達したと述べられている。ただし企業の従業員は、ギフトカードのプレゼントやソーシャルネットワークの通知などの「一般消費者向け」の電子メールには慎重に対応している。

　またレポートによれば、2015年には「スピアフィッシング」とも呼ばれる標的を絞ったフィッシング攻撃も増加した。調査対象の67％が、2015年中にスピアフィッシングを経験したと報告しているが、これは前年よりも22ポイント大きい数字だ。個人を標的とした工夫がないメールに比べ、従業員のファーストネームが書かれているメールのクリック率は19ポイント高く、ラストネームが書かれているものは17ポイント高かったという。

　では、最も被害を受けているのはどの業界だろうか。トップは通信業界でクリック率は24％、僅差で2位になったのが、Wombatが専門的サービスと分類する、コンサルティング、法律、会計などの業界で、クリック率は23％だった。また3位は行政機関で、クリック率は17％だった。

　従業員が使用しているプラグインも、古いバージョンが使われていることが多く、攻撃を受けるリスクを高める要因になっている。レポートによれば、古くなっているプラグインの上位4つは、次の通りだ。

1. Adobe PDF（61%）
2. Adobe Flash（46%）
3. Microsoft Silverlight（27%）
4. Java（25%）

　攻撃に対する防御として、調査対象の99％がスパムフィルタを用いており、56％がアウトバウンドプロキシを、50％が高度なマルウェア分析ツールを、24％がURLラッパーを使用している。さらに、92％は従業員に対してフィッシングを見分けて回避するためのトレーニングを行っていると述べている。

　この分野に詳しい人であれば、2015年までこのレポートを公表していたのは、Wombatが同年に買収したThreatSimだったことに気づいたかも知れない。今年のレポートはその両社の共同で、2014年10月1日から2015年9月30日までの期間に実施された、数百万件の模擬フィッシング攻撃の結果を受けて作成されている。

　レポートには、Wombatが作成した専門家のリスト（顧客と顧客以外の両方を含む）を対象とした調査のデータも含まれている。プレスリリースには具体的な回答数は書かれていないものの、調査では「数百件の回答」を受け取ったとある。

　Wombat Security TechnologiesとThe Phonemon Insituteが2015年に発表した別のレポートでは、1万人規模の企業では、フィッシング攻撃によって合計約3800万ドルのコストがかかっていると推定している。

3つの要点

1. フィッシング攻撃は増加し続けており、2015年には85％の企業が攻撃を受けた。
2. 業務メールを装ったフィッシング攻撃は、一般消費者を対象としたメールを装った攻撃よりも成功率が高く、個人を標的にしたメールではクリック率が高くなる。
3. 古くなったプラグインは、フィッシング攻撃への脆弱性を高める。古くなったまま使われていることが多いのは、PDF、Flash、Silverlight、Javaの4つである。