ホリデーシーズンが到来し、街が華やかに彩られ、贈り物を求めた買い物がピークとなります。しかし同時に、攻撃者がこれまで以上に迅速に行動し、高度なツールや AI を活用してリアルタイムで脆弱性を悪用するなど、サイバー攻撃のリスクが高まっています。完璧なギフトを探したり、オンラインで魅力的なセールを利用したりしている間、サイバー犯罪者も懸命に活動しています。この時期は多くの人が警戒を怠り、悪意のある Web サイトを通じて攻撃を仕掛けやすくなることを知っているのです。今回は、自らを保護し、安全なホリデー シーズンを楽しむ方法を探ってみましょう。
年末年始の失敗談
想像してみてください。多忙なサラが、オンラインでホリデーセールを探しています。広告をクリックすると、お気に入りの小売店そっくりのサイトで、信じられないほどの割引が見つかります。お得情報に嬉しくなり支払い情報を入力し、購入を完了します。しかし、確認メールが届きません。代わりに、クレジットカード会社が疑わしい取引について警告します。サラは、さまざまなプラットフォームのアカウントへのログインに関する通知も受け取り始めます。なぜでしょう? サラは複数のサイトで同じパスワードを使用しており、攻撃者は盗んだ認証情報を利用していたのです。
残念ながら、サラのような話はよくあります。幸いなことに、リスクを理解し、簡単な予防策を講じることで、被害に遭わずにすみます。
悪質サイトの隠れた危険性
サイバー犯罪者は、ユーザーを騙して機密情報を開示させたり、有害なソフトウェアをダウンロードさせたりする悪質なウェブサイトを作成します。このようなサイトは、ロゴや商品画像、さらには偽のレビューまで添えて、人気のある小売業者を模倣していることがよくあります。URLのスペルミスや、ウェブアドレスに「https」が含まれていないなど、細かな点に多くの人は気づきません。
チェックポイント社の調査によると、2024年5月だけで、ホリデーや休暇に関連するドメインが新たに25,668件登録され、約3％が悪意がある、または疑わしいと確認されました。
このような偽サイトは、急いで買い物を行う人が多くなりURLの微妙な違いを見落としてしまう可能性がある、年末年始などの繁忙期に特に効果的です。
攻撃者はどのようにして悪意のあるウェブサイトを作成するのか
サイバー犯罪者は、よく類似ドメインを使用して、疑いを持たないユーザーを騙します。不正なWebサイトは、正規のサイトを模倣するように設計されており、ログイン認証情報や支払い情報などの機密情報を入力させます。攻撃者は、特にホリデーシーズンなどの忙しい時期には簡単に見落とされてしまうURLの小さな変更を悪用します。類似ドメインにはさまざまな形式がありますが、最も一般的なものの 1 つが「タイポスクワッティング」です。
そっくりさんドメインの種類
タイポスクワッティング
タイポスクワッティングは 、人間の単純なタイプミスを悪用する。例えば、"www.amazon[.]com"と入力する代わりに、誤って "www.amaz0n[.]com"や "www.amazonn[.]com"と入力してしまうかもしれません。これらのドメインは、攻撃者がトラフィックを悪意のあるウェブサイトにリダイレクトするために登録することが多いです。
Infobloxによると、タイポスクワッティングされたドメインの多くは、当初は広告収入を目的としてパークされたり、正当な所有者に転売されたりしています。しかし、マルウェアの配布、認証情報のフィッシング、さらなる攻撃の開始など、悪意のある目的で使用されるドメインもかなりあります。
コンボスクワッティング
コンボスクワッティングは、正当なブランド名に追加の単語やフレーズを組み合わせて、欺瞞的なURLを作成するものです。例えば、"paypal-login[.]com"や "software-updater[.]com"は信用できるように見えますが、そうではありません。多くの場合、悪意のあるものです。コンボスクワッティングは、ユーザーを騙して公式ウェブサイトであると信じ込ませる可能性を高めます。
同音異義語
同形異義語攻撃は、「o」を「0」に置き換えたり、ラテン文字に似せたキリル文字を使用するなど、正規の文字と視覚的に似ている文字を利用します。例えば、"paypal[.]com "を "paypaI[.]com"と偽装し、小文字の "L"を大文字の "I"（多くのフォントでほぼ同じに見える）に置き換えることがあります。
サウンズクワッティング
攻撃者は、同音異義語(音が似ている単語）を使用して、欺瞞的なドメインを作成します。例えば、"adobe[.]com "を検索するユーザーを欺くために、"adobee[.]com "を登録するかもしれません。
攻撃者はどのようにして悪意のあるサイトにトラフィックを誘導するのか？
グーグル広告の悪用
攻撃者はGoogle Adsを悪用し、疑いを持たないユーザーを悪意のあるWebサイトに誘導します。公式ロゴや魅力的なオファーを含む一見正当な広告を作成し、ユーザーを誘導してクリックさせます。クリックすると、追跡テンプレートを通じて不正なサイトにリダイレクトされ、BatLoaderやDanaBotなどのマルウェアが配信される可能性があります。これらのマルウェア プログラムにより、攻撃者は認証情報を盗んだり、ランサムウェアをインストールしたり、デバイスに不正アクセスしたりできます。
SEOポイズニングまたはスパムデキシング
攻撃者が用いるもう1つの手口は、検索エンジンのアルゴリズムを操作して悪意のあるサイトを検索結果の上位に表示させるSEOポイズニング（Spamdexing）です。例えば、ホリデーに人気のアイテムやサービスを検索すると、正規の小売業者を装った悪質なサイトに遭遇する可能性があります。ユーザーは広告よりもオーガニックな検索結果を信頼することが多いため、SEOポイズニングは特に危険です。
パスワード再利用の危険性
攻撃者が悪意のあるウェブサイトを作成する主な理由は3つあり、クレデンシャルを盗むこと、malware 、脆弱なパスワードを利用することです。
一度偽サイトに情報を入力すると、攻撃者はあなたの認証情報を使って他のアカウントにアクセスすることができます。複数のプラットフォームでパスワードを再利用している場合、これは特に有害です。
複数のアカウント間でパスワードを再利用すると、クレデンシャルスタッフィング (漏洩した資格情報を使用して攻撃者が複数のアカウントにアクセスする) の標的になりやすくなります。
無名のショッピングサイトではパスワードは重要でないと思うかもしれませんが、Eメールや銀行口座で同じものを使っていると、大きな危険にさらされることになります。サラの場合、盗まれたパスワードによって攻撃者は彼女の主要メールアカウントにアクセスすることができ、それを使って他のアカウントのパスワードをリセットしました。
パスワードが流出したかどうかを知るには？
人気の無料サービス「Have I Been Pwned」は、データ侵害でメールアドレスやパスワードが漏洩したかどうかを確認するのに役立ちます。「Pwned」は「owned」から派生した用語で、悪意のある人物が機密情報を制御している状況を指します。認証情報が「Have I Been Pwned」のデータベースに表示されている場合、それは漏洩しており、すでにサイバー犯罪者の手に渡っている可能性があることを意味します。
ハッカーは、様々なサービスでテストすることで、漏えいした認証情報を悪用します。わずか数分で、漏えいしたパスワードによって、攻撃者はあなたの電子メール、金融口座、さらにはソーシャルメディア・プロファイルにアクセスできるようになります。
ホリデーシーズンを安全に過ごすための実践的ステップ
オンラインショッピングを避ける必要はありません。いくつかのベストプラクティスに従うことで、不必要なリスクに身をさらすことなく、便利なオンラインショッピングを楽しむことができます。
- 信頼できる小売業者を利用し、個人情報や支払い情報を入力する前にURLを確認することから始めましょう。
- 迷惑メールやテキストメッセージのリンクをクリックすることは避けてください。これらは一般的なフィッシングです。
- 疑わしいドメインにフラグを立てるブラウザの拡張機能やサイバーセキュリティツールの使用を検討します。組織は、公式URLの一般的なスペルミスを含む類似ドメインを積極的に登録することで、タイポスクワッティングに対抗することができます。
パスワードに関して
- パスワードの再利用をやめ、サイトごとにユニークで複雑なパスワードを使いましょう。パスワード・マネージャーを使えば、強力なパスワードを安全に保存・生成してくれるので、この作業が簡単になります。
- 可能な限り多要素認証（MFA）を有効にする。パスワードが漏洩した場合でも、MFAは携帯電話に送信されるコードのような2つ目の認証ステップを要求することで、追加の保護レイヤーを追加します。ただし、電話番号が最新であることを確認してください。古い番号や危殆化した番号は、 SIMスワッピングのような攻撃に対してあなたのアカウントを脆弱にする可能性が あります。
- メールアドレスやその他の認証情報に関わる侵害について常に情報を入手し、アカウントを保護するために直ちに行動してください。
Vectra AIはどのように検知 、脅威を防止するのに役立つのか
組織を守るセキュリティ・チームの一員であれば、年末年始の休暇はより一層重要ですが、1年で最も忙しい時期に組織のネットワークを保護することは、決して無理なことではありません。Vectra AI Platformは、人工知能による高度な脅威検知を提供し、悪意のある活動の先手を打つお手伝いをします。
異常な行動の特定であれ、クレデンシャルの不正使用のリアルタイム検出であれ、Vectra AIは迅速かつ効果的に対応するためのツールを提供します。ホリデーシーズンは、サイバーセキュリティの脅威に対するストレスではなく、楽しい時間であるべきです。悪質なウェブサイトやタイポスクワッティングに警戒し、強固なパスワード衛生を実践することで、リスクを大幅に軽減することができます。
少し注意を払えば、本当に大切なこと、つまり親しい人たちとのお祝いに集中することができます。