最新のセキュリティ対策があるにもかかわらず、なぜフィッシング攻撃は依然として成功するのか
その問題は理解しています。では、なぜそれが繰り返し発生するのでしょうか？
ブリュッセルで最近開催された「サイバーインテリジェンス」カンファレンスをはじめ、欧州のサイバーセキュリティコミュニティ全体で交わされている最近の議論からは、脅威の状況に対する理解が深まりつつあるという確信がうかがえる。しかし、最も根強いリスクのいくつかは、依然として大きな変化を見せていない。各国のサイバーセキュリティ当局によると、フィッシングは依然として組織を脅かす最も一般的かつ成功率の高いサイバー攻撃であり、攻撃の90％以上が詐欺メールから始まっている。
それが特に洗練されているからではなく、ただ機能し続けているからだ。
なぜフィッシング攻撃が依然として最大の脅威なのか
組織が既知のセキュリティ対策を大規模かつ一貫して適用することに苦慮しているため、フィッシング攻撃は依然として横行しています。フィッシングの基本原理は明らかです：
- 標的とされているのはシステムだけではなく、人々そのものである
- 安価で、拡張も簡単です
- AIは説得力を高めるものであり、弱めるものではない
EchoLeaksのような最近の事例は、AIが単にフィッシングの手口を再定義しているだけでなく、それを洗練させていることを示しています。その結果、より精巧なフィッシング攻撃が、はるかに少ない労力で実行可能になっています。
DMARCの適用が不統一であることは、セキュリティ上のリスクをもたらします
最新のセキュリティ対策が導入されているにもかかわらず、なぜフィッシング攻撃は依然として成功しているのでしょうか。現代のサイバーセキュリティは、大規模かつ複雑なエコシステムへと進化しています。立法者やサイバーセキュリティの専門家は、サイバーセキュリティリスクを低減・管理するために多大な努力を払っています。しかし、成熟したシステムにはよくあることですが、リスクを継続的に管理することと、構造的にリスクを未然に防ぐこととの間には、必然的な緊張関係が生じています。
必要な操作は周知の通りです：
- 強固なアイデンティティおよびアクセス制御
- 一貫性があり、かつ有意義なユーザーへの周知
- SPF、DKIM、DMARCなどの堅牢なメールおよびドメイン保護対策の導入
- 不要な露出箇所の削減
しかし、こうした対策はしばしば一貫性なく適用されている。これは特にDMARCの利用において顕著であり、欧州全域で導入率は向上しているものの、その運用には依然としてばらつきが見られる。その結果、フィッシング攻撃は強力かつ一貫した防御を突破する必要はなく、最も脆弱な箇所を見つけ出すだけで済むのである。
なぜ一貫性のなさが真の弱点なのか
欧州全域には、国や地域レベルでの基本的なセキュリティ成果に影響を与えることができる27の国家サイバーセキュリティ当局からなる強固なネットワークが存在する。NIS2指令などの規制枠組みにより、基本的なセキュリティへの注目が高まる中、一貫性の重要性を主張する声はかつてないほど強まっている。
しかし、DMARCのような基本的な仕組みに対する取り組み方については、依然として大きなばらつきが見られます。DMARCの導入状況は、DMARCレコードの有無で測られることがよくありますが、ポリシーが p=none から p=quarantine または p=rejectに変更する必要があります。多くの組織では依然としてp=noneのままですが、これは状況を把握する上で良い第一歩ではありますが、悪用を積極的に防止するものではありません。
欧州における電子メールセキュリティの強化：推奨事項から義務化へ
欧州では取り組みが国によって異なり、デンマークやオランダなどの国では義務化を通じて導入を推進している一方、他の地域ではガイドラインに依存している。より効果的なアプローチとしては、DMARCなどの対策を一貫して導入させるため、国や地域レベルで（単なるガイドラインにとどまらず）政策や義務化をより広く活用することが挙げられる。
フィッシングは、最も強固な組織を打ち負かす必要はありません。最も一般的な攻撃手法として、エコシステム内で最も防御が脆弱な領域を標的にし続けるだけでよいのです。
世界各国で策定が進むDMARCの義務化動向とガイドラインの一覧をご覧ください。
フィッシングのリスクを軽減する方法
フィッシング攻撃が根絶されないのは、解決策がないからではなく、大規模かつ一貫して対策を講じていないためです。フィッシング攻撃を軽減する鍵は、検知能力の向上やツールの追加だけにあるのではなく、実証済みの対策をより利用しやすく、より一貫性のあるものにし、より広く普及させることにあります。これには、DMARCなどのプロトコルを用いたメール認証の基礎的な対策を日常的に導入することも含まれますが、こうした対策は往々にして十分に活用されていません。これを実践することで、エコシステムから最も根強い脅威の一つを取り除くことができるのです。
その状況が変わるまでは、フィッシングは進化する必要はなく、ただ待つだけでよい。
EMEA地域におけるDMARCの導入について詳しく知りたい方、契約義務のないトライアルを開始したい方、または弊社へのご連絡をご希望の方は、[email protected] までお問い合わせください。皆様からのご連絡を心よりお待ちしております。
さらに詳しく議論を続けたい方は、ぜひ dmarcian Forum へお越しください。
