フィッシング詐欺や標的型攻撃の被害にあわないために気を付けていること
武漢ウィルスで世界は変わりましたね。
本当に世界は元に戻るのだろうか？不安になりつつ、それでも毎日戦っている人がほとんどだと思います。自分もそうです。
飛行機が好きです。航空業界を見ると、国際線はしばらく復活できないでしょうし、日本は国内線も需要が多い方だと思いますが県をまたぐ移動を自粛されている状態が解除されれるまでは需要が復活することはないでしょう。でも航空貨物はかなり需要がアップしているようです。
需要がアップしているのは宅配業者も同様です。インターネット回線もひっ迫しているかな？自転車通勤も増えたと思います。宅飲みも増えたはずだしホットケーキミックス粉はなかなか手に入りません。粉物は品薄っぽいですよね。
そんな中、こんな記事が。
GitLabの社員でさえ、フィッシングメールに引っかかるという記事です。自分たちも無関係ではありません。メールを利用した詐欺はなくなりませんし、在宅勤務や県をまたいだ自粛している現在では宅配業者を装ったフィッシング詐欺メールも増えるでしょう。標的型攻撃もメールが起点になることが非常に多いです。
このようにメールは、いくら注意してもしすぎることはありません。
実際、自分も2回ほど「思わず詐欺にあいそうになった」ことがあります。
どんなシチュエーションだったかというと
・ドメインの有効期限が近くなったのでお金を払って更新が必要です
・勤務先のITセキュリティチームを装ったセキュリティアンケート案内
でした。
引っかかりやすい条件というのもあったと思います。精神的に引っかかりやすいタイミングというか、仕事の状況で正常な判断がしにくかった状態でした。とくにドメインの有効期限更新案内メールは海外から送られてきた英文メールでしたから、とある場所で仕事に使っていたドメインを海外から購入したのか？などメールのリンクを踏む前に「メール本文の会社名」「会社名から分かる事業概要」「過去の取引状況」などを徹底的に確認して、結論が「詐欺メール」と判定できましたが多大なる労力がかかりました。（前任者がデータを残していないことが原因で、普通は引き継ぎ資料にドメインを買った会社などの情報は残っている）
勤務先のセキュリティチームからのアンケートも、普通にやりそうな文面であることがドキッとした原因でした。（仕事が忙しく引っかかりやすい状態であったという精神的にやられていたことも原因ですが）
では、合わないようにするために何を気を付けるべきか？
・メールの内容をよく読んで「会社名」「内容」を理解する
・メール本文のリンクをクリックしない。必ず会社名を確認して、会社名をキーにインターネット検索を行い、検索できるトップページから自分が利用しているサービスを利用する
・内容に不安がある場合は、関係者に電話連絡をおこなって内容を事前に確認する
自分はいつも上記3点を気を付けています。メールの内容に即対応する必要があるのはほとんどありませんし、クレームメールなどの緊急対応が必要な業務の相手先には電話連絡できるはずです。
技術的に見破る方法もありますが、偽装も比較的簡単なので、あまり意味はないなぁと思います。（それでもメールヘッダを読んだりします）
万が一、フィッシングメールに引っかかったと思われる場合は
情報セキュリティ安心相談窓口：IPA 独立行政法人 情報処理推進機構
フィッシング対策協議会 Council of Anti-Phishing Japan
に相談してください。
インターネットは性善説に基づいて設計されていますから、対策も大変です。技術的に色々と対策が取られてきま来ていますが詐欺行為はなくならないでしょう。だからこそ、アナログ的な手法になりますが「会社を調べる」「電話をかける」という当たり前のことを行って自衛しましょう。
