ホエーリング攻撃：経営幹部が標的型フィッシングで数百万ドルを失う仕組み

主な手口

• • 攻撃者が経営幹部のカレンダー、旅行スケジュール、講演予定、ソーシャルメディア投稿を数ヶ月間研究し、攻撃に最適なタイミングと現実的なシナリオを特定する深度の情報収集作戦。
• • ほぼ同一のドメイン（『examp1e.com』を『example.com』の代わりに使用するなど）を使用した電子メール詐称およびドメイン偽装、または既知のビジネスパートナーの侵害されたアカウントを使用してメールクライアントで正当に見える投稿。
• • 架空の法律問題、機密合併協議、時間制限のある規制順守問題、または通常の承認プロセスをスキップする正当な理由となる緊急ベンダー支払いを伴う複雑なバックストーリーの作成。
• • 経営幹部が旅行中、カンファレンスにいる、または対面検証が不可能な時期に攻撃のタイミングを設定。彼らがモバイルデバイスを介して急いで応答する可能性が高いことを知っています。
• • 初期接触で無害なビジネス議論を通じて親密さを確立し、その後、数日または数週間の間に詐欺的な要求を段階的に導入して疑いを避ける複数段階のソーシャルエンジニアリング。
• • CEOになりすましてCFOを標的にする、または取締役会メンバーになりすましてCEOを標的にするなど、組織階層の搾取。権威の心理的プレッシャーを活用して質問と検証を抑制します。

見分け方

• 送金、認証情報のリセット、または機密情報のリクエストで、確立された安全な通信チャネルではなく電子メール経由で到着。特に時間制限または機密としてマークされている場合。
• 送信者アドレスの文字置換（mの代わりにrn）、余分なハイフン、または代替トップレベルドメイン（.comの代わりに.co）など、微妙なドメイン名の相違で、一見すると同じに見えるもの。
• 確立された企業プロトコルの破裂、承認ワークフローのバイパス、通常は関与すべき財務チーム、法務部門、その他の経営者への機密保持を求めるリクエスト。
• 想定された送信者の通常の通信スタイルと異なる異常に正式または非公式な言語。送信者があなたを個人的に知っているべき場合の『経営幹部様』などの一般的な挨拶。
• 想定された送信者が旅行中、会議中、または利用不可であることが知られている奇妙な時間に受信されたメッセージ。特に彼らがアシスタントを通じてではなく個人的に緊急事項を処理していると主張する場合。
• 極端な緊急性、機密性要件、または遅延の潜在的な悪影響を強調する圧力戦術。特に個人メールの使用、テキストによる応答、または通常のビジネスシステム外での通信を求める場合と組み合わされるもの。

身を守る方法

• 指定された閾値を超えるすべての送金および財務取引に対して必須のデュアル認証プロトコルを実装。メールで提供された番号ではなく既知の電話番号を介して音声確認が必要です。
• 経営幹部、取締役会メンバー、重要なビジネスパートナーとの間に、通常のチャネル外で異常な財務リクエストを行う場合または機密情報を求める場合に使用する必要があるコードワードまたは検証フレーズを確立します。
• 外部電子メールにフラグを立てる、ドメイン詐称をチェックする、ヘッダー情報を分析して認証失敗を検出し、メールがCEOなどから発信されているがメールが外部ソースから発信されている場合にユーザーに警告する高度な電子メールセキュリティソリューションを展開します。
• セキュリティチームが経営幹部および取締役会メンバーに現実的な標的型フィッシングメールを送信し、応答率を追跡し、テストに失敗した者に即座にトレーニングを提供する四半期ごとのホエーリングシミュレーション演習を実施します。
• 組織内で偽装できない保護されたコンタクトリストを作成。CEO等からのメールは検証済みアカウントから発信するか、外部として明確にマークされることを確保します。
• 機密通信用に経営幹部向けの個別メールアカウントの保持を要求し、ホエーリング戦術に特化した必須セキュリティ認識トレーニングを実装し、リクエストが正当に見えても異常な場合の明確なエスカレーション手順を確立します。

実例

通報窓口 — 日本

お住まいの地域でこの詐欺を通報できる公式窓口。