組織と一般ユーザーの双方に向けた厳しい警告として、サイバーセキュリティの専門家や政府機関が、Gmailを標的とする新種のフィッシング攻撃に警鐘を鳴らしている。サイバー犯罪者が高度な人工知能アルゴリズムを使い、より本物らしい偽メッセージを作成する中、FBIのメッセージは単純明快で、妥協の余地がない。何もクリックしてはならない。
AIで高度化するサイバー脅威
最近の情報分析によると、Gmailのフィッシングキャンペーンはかつてない水準に達している。
攻撃者は現在、正規のメールを完璧に模倣したパーソナライズメッセージをAIで作成しており、熟練した専門家でさえ60秒足らずでだまされる可能性がある。2022年初頭以降、フィルターを回避できるフィッシング攻撃は49％増加しており、そのうちAIが生成した脅威は約5％を占めている。
この急増は、サイバー犯罪における自動化の広がりを浮き彫りにするとともに、どのメールプラットフォームも安全ではないことを示している。世界で最も広く利用されているメールサービスの1つであるGmailは、依然として最大の標的だ。Gmailアカウント1つを侵害されるだけで、個人や企業の膨大なデータの宝庫にアクセスされる可能性がある。
Open Graphスプーフィングでメタデータを悪用
AI駆動型キャンペーンに加え、サイバー犯罪者は最近明らかになったOpen Graph Spoofing Toolkitも悪用している。このツールはメタデータを操作し、信頼できる送信元から発信されたように見える偽装リンクを作成する。もともと標的型攻撃キャンペーン向けに開発されたこのツールキットによって、ハッカーはURLの表示をリアルタイムで変更できるため、悪意のあるリンクを正規のリンクとほとんど見分けられない状態にできる。
攻撃者はCloudflareなどのサービスと連携することで、ドメイン設定を管理し、リンクの状態を監視して、従来のセキュリティフィルターを回避できる。こうした手口はクリック率を高め、フィッシングキャンペーン全体の影響を増幅させることで、何も知らないユーザーによるクリックを侵害につながる可能性のある行為へと変えてしまう。
専門家の助言と組織への影響
サイバーセキュリティの専門家は、こうした進化する脅威に対抗するため、組織に強固な対策を講じるよう促している。
FBIのガイダンスは明確だ。メールやテキストメッセージに含まれる、要求していないリンクは決してクリックしてはならない。Nord Securityのセキュリティ専門家Adrianus Warmenhovenは次のように警告している：「フィッシングは組み立て式家具を組み立てるより簡単だ」と述べ、攻撃者が人為的ミスを悪用する容易さを強調している。
組織は特に、従業員を教育し、厳格なメールフィルタリングポリシーを適用するとともに、次のような高度なセキュリティ対策を検討すべきだ。多要素認証（MFA）やURL照合用に設定されたパスワードマネージャーなどである。これらの対策は、個々のアカウントを守り、連鎖的な侵害からより広範なネットワークインフラを保護するうえで不可欠だ。
サイバー防御を総動員せよ
デジタル世界の敵対性がますます高まる中、組織はすべてのメールを慎重に扱い、従業員のトレーニングや高度なサイバーセキュリティツールに投資しなければならない。今回相次いだ巧妙なGmail攻撃は、サイバー犯罪者の手口がテクノロジーと同じ速さで進化していることを示している。
FBIの警告がサイバーセキュリティ業界に響き渡る中、企業には常に一歩先を行く責任がある。コミュニケーションやデータ管理にGmailを利用している組織にとって、実証済みのセキュリティ対策を守ることは、単なる推奨事項ではなく、必須だ。
組織のメールセキュリティを強化し、データを安全に保つための優れたメールセキュリティソフトやソリューションをいくつか探してみよう。