本記事では、警視庁からも注意喚起されている「二段階式フィッシングメール」について紹介します。
二段階式フィッシングメールとは
二段階式フィッシングメールとは、2通のメールを組み合わせてだますフィッシング詐欺の手法です。
1通目であえて明らかに怪しいメールを送信し、その後、2通目としてフィッシングメールの報告依頼や注意喚起を装ったメールを送ることで、偽サイトへの誘導や悪意のあるプログラムのダウンロードなどを促す手法です。
一般的な流れは以下です。
①怪しいメールが届く（１通目）
②フィッシングメールの報告依頼や注意喚起を装ったメールが届く（２通目）
1通目の怪しいメールを見極められた比較的セキュリティ意識が高い人に対して、
2通目の報告依頼や注意喚起のメールを送ることで、セキュリティ意識が高く真面目な人ほど、引っかかりやすい状況を作ります。
つまり、この手法は、セキュリティ意識が高い人ほど引っかかりやすいと言うこともできるため、
これまで以上に、メールを受信する従業員の方々の「見極める力」が必要となります。
参照元：警視庁 https://x.com/MPD_cybersec/status/2064986229846987253
フィッシングメールを見分けるポイント
- メールアドレスが正しいか
- URL、リンク先に違和感がないか
- 件名や本文に不自然な日本語が使われていないか
- 緊急性をあおる表現が含まれていないか
メール送信者の表示名は、攻撃者側で変更できる場合があります。
そのため、「情報システム部」「セキュリティ担当」などの表示名だけで判断せず、メールアドレスやドメインを確認することが大切です。
表示されているURLと実際のリンク先が異なる場合や、見慣れないドメインが使われている場合は注意が必要です。
少しでも怪しさを感じたら、URLや添付ファイルを開かずに、社内チャットやサイトに掲載されている連絡先など、正規の手段で確認をするようにしてください。
従来の見分け方だけでは判断が難しくなっている
ここまでフィッシングメールを見分けるポイントを紹介しましたが、最近は怪しいメールだと判断できる箇所が少なくなってきています。
「件名や本文に不自然な日本語が使われていないか」という点については、AIや翻訳技術の進化によって、フィッシングメールの文章が以前よりも自然になっており、不自然な表現だけで見分けることが難しくなっています。
また、「緊急性をあおる表現に注意する」という点も、二段階式フィッシングメールでは判断が難しい場合があります。2通目はフィッシングメールの報告依頼や注意喚起を装っているため、セキュリティ担当者から急ぎの連絡が来ること自体が自然に見えてしまいます。
まずは無料で、二段階式フィッシングメール訓練を試してみませんか？
フィッシングメール対策の1つとして重要なのが、標的型攻撃メール訓練です。
標的型攻撃メール訓練では、実際の攻撃メールに近い疑似メールを社員に送信し、URLをクリックするのかなどの従業員のセキュリティ意識を可視化できます。
標的型攻撃メール訓練サービス「 TrapFeel 」なら、500名まで無料で訓練を実施でき、送信制限は無制限のため、二段階式フィッシングメールを想定した訓練に活用できます。
二段階式フィッシングメールのような巧妙な手口に備えるには、実際に近い訓練を通じて、従業員が正しい対応を身につけることが重要です。ぜひTrapFeelをご活用ください。
