スピアフィッシング

スピアフィッシングは、標的を調べ上げて実際の情報で文面を作り込む、狙いを定めたフィッシングです。使われるのは、標的の氏名、役職、最近の案件、同僚の名前、社内行事などです。この作り込みによって、攻撃の成功率は大きく上がります。

汎用的なフィッシングが広く網を張るのに対し、スピアフィッシングは精密な武器です。攻撃者は文面を作る前に、LinkedIn、企業サイト、SNS を使って数日がかりで標的を調べることもあります。

対策には、スピアフィッシングの筋書きを扱うセキュリティ教育、メールの認証 (DMARC、DKIM、SPF)、認証情報や金銭が関わる依頼に対する確認手順があります。パスワードマネージャーは最後の一歩を守ります。被害者がスピアフィッシングのリンクを開いてしまっても、偽ドメインでは認証情報が自動入力されません。