年次フィッシング レポートは、ChatGPT などの AI プラットフォームの使用の増加にさかのぼることができる新しいフィッシング キャンペーンを示しています。
- 世界的なフィッシング攻撃 2022 年と比較して 50 年には約 2021% 増加
- 教育制度 攻撃が 576% 増加した最大の標的であり、金融と政府がそれに続きました。 一方、小売業者と卸売業者への攻撃は 67% 減少し、昨年のランキングを上回りました。
- 五カ国 攻撃が最も多かったのは、米国、英国、オランダ、カナダ、ロシアでした。
- 最も頻繁に悪用されるブランド名の中で Microsoft、Binance、Netflix、Facebook、Adobe が含まれます
- ChatGPT などの AI ツール フィッシング キットは、犯罪者の侵入に対する技術的な障壁を下げ、時間とリソースを節約することで、フィッシングの増加に大きく貢献しています。
- SMS フィッシング (SMiShing) ボイスメール関連のフィッシング (ビッシング) へと進化し続け、悪意のある添付ファイルを開くように被害者をおびき寄せる
- クラウドネイティブ、プロキシベース、ゼロトラスト アーキテクチャ 進化するフィッシング攻撃から企業を保護するために不可欠です
このレポートは、世界最大のインライン セキュリティ クラウドからの 12 か月間のグローバル フィッシング データを調べて、最新の傾向、新たな戦術、フィッシング攻撃の影響を最も受けている業界と地域を特定します。 最新のレポートによると、最新のフィッシング攻撃の大部分は、盗まれた資格情報に基づいており、Adversary-in-the-Middle (AitM) 攻撃の脅威が増大し、InterPlanetary File System (IPFS) の使用が増加していることを示しています。 さらに、ブラック マーケットから入手したフィッシング キットや、ChatGPT などの AI ツールを使用した攻撃が増えています。
フィッシング キットと AI ツール
「フィッシングは、サイバー犯罪者がグローバルな企業インフラに侵入するために使用する最も一般的な脅威タイプの XNUMX つです。 巧妙化するフィッシング攻撃は年々増加しています。 脅威アクターは、フィッシング キットと AI ツールを使用して、非常に効果的な電子メール、SMiShing、およびビッシング キャンペーンを大規模に開始しています」と、Zscaler のグローバル CISO 兼セキュリティ責任者である Deepen Desai は述べています。 「フィッシング・アズ・ア・サービスの成長に後押しされたAitM攻撃により、攻撃者は多要素認証を含む従来のセキュリティモデルを回避できます。 IT 環境を保護するために、ゼロトラスト アーキテクチャが推奨されます。これにより、組織は攻撃対象領域を大幅に削減し、侵害を防止したり、攻撃が成功した場合の影響を軽減したりできます。」
ChatGPT の脅威
ChatGPT のような新しい AI テクノロジの出現により、サイバー犯罪者が悪意のあるコードを生成し、BEC (Business Email Compromise) 攻撃を実行し、被害者がフィッシングを検出するのを困難にするポリモーフィック マルウェアを開発することが容易になりました。 また、悪意のある攻撃者は、ユーザーが分散型コンピューター ネットワーク上でファイルを保存および共有できるようにするピア ツー ピア分散ファイル システムである InterPlanetary File System (IPFS) でフィッシング サイトをホストすることも増えています。 ピア ツー ピア ネットワーク モデルのため、IPFS でホストされているフィッシング サイトを削除するのは非常に困難です。 さらに、Zscaler ThreatLabz チームは最近、Adversary-in-The-Middle 攻撃を含む大規模なフィッシング キャンペーンを発見しました。 AiTM 攻撃は、従来の多要素認証方法をバイパスできる技術を使用します。
ボイスメール フィッシング
音声メッセージに基づくビッシングまたはフィッシング キャンペーンは、SMS または SMiShing 攻撃から進化しました。 これらのビッシング攻撃では、攻撃者は実際の管理者の音声の断片を使用し、これらの録音されたメッセージを含むボイスメールを送信します。 これにより、受信者は送金やログイン資格情報の送信などのアクションを実行する必要があります。 米国の多くの組織が、ビッシング攻撃の標的になっています。 LinkedIn や求人サイトでの応募に関する詐欺も増加しています。 残念なことに、2022 年には、シリコンバレーの大企業の多くが人員削減という難しい決断を下しました。 その結果、サイバー犯罪者は、偽の求人情報、Web サイト、ポータル、およびフォームを使用して、求職者をおびき寄せました。 多くの場合、被害者は完全なインタビューを受け、その後、払い戻しを約束して費用を支払うよう求められます。
ルアーとしてのブランド名
サイバー犯罪者は、なりすましを使用して、キャンペーンで有名な消費者向け製品およびテクノロジー ブランドを悪用することに多くの成功を収めてきました。 マイクロソフトは、今年も最も模倣されたブランドとなりました。 攻撃のほぼ 31% が詐欺を使用して、被害者の組織をだましてさまざまな Microsoft ビジネス アプリケーションにアクセスさせ、それによって資格情報を盗みます。 仮想通貨取引所 Binance は、偽のブランド名攻撃の 17% を占めており、フィッシャーは銀行や P2P 企業の偽の顧客代表者を装っていました。 Netflix、Facebook、Adobe などの大手ブランドが、最もなりすましやフィッシングの多いブランドのトップ 20 にランクインしました。
フィッシング攻撃の最大の標的
米国は、依然としてフィッシング攻撃の標的にされる頻度が最も高い国です。 このデータは、昨年の 65% と比較して、すべてのフィッシング攻撃の 60% 以上が米国で行われたことを示しています。 依然として米国がリードしていますが、この調査では、カナダ (718%)、英国 (269%)、ロシア (199%)、日本 (92%) でフィッシングの試みが驚くほど増加していることがわかりました。 一方、ハンガリーとシンガポールでは、試みはそれぞれ 90% と 48% 減少しました。 ThreatLabz のチームは、シンガポールの衰退は、サイバー セキュリティ エージェンシー (CSA) のイニシアチブを含む、政府によるサイバー セキュリティへの投資によるものであると考えています。
教育や医療を狙ったフィッシング攻撃
教育業界は、2022 年にフィッシング攻撃が最大の増加を見せ、576% 増加して 2022 位から 31 位になりました。 ThreatLabz チームは、2021 年に米国で行われた学生ローンの返済と債務救済の申請プロセスが、この増加に一役買ったと考えています。 他の 114 つの最も攻撃された業界には、金融、保険、政府、医療が含まれており、攻撃の試みの数は、2022 年の約 67 万から 38 年には 2021 億 XNUMX 万を超えるまで増加しています。 昨年の攻撃対象のトップであった小売業と卸売業は、XNUMX% 減少しました。 サービス業界も、XNUMX 年の試みから XNUMX% 減少しました。
フィッシング攻撃に対する防御
平均的な企業が毎日フィッシング メールを受信していることを考えると、マルウェアやランサムウェアの攻撃による経済的損失は、IT コストの年々の増加につながる可能性があります。 これらの日常的な脅威に対処することは、IT セキュリティにとって責任のあるタスクであり、フィッシングの脅威のリスクを完全に排除することはできませんが、IT およびセキュリティ チームは観察されたインシデントから学ぶことができます。 Zscaler は、フィッシング リスクを制御するために次のベスト プラクティスを推奨しています。 ポリシーと戦略を改善するには、リスクをよりよく理解する必要があります。 自動化されたツールと脅威インテリジェンスは、フィッシング インシデントの削減に役立ちます。 ゼロトラスト アーキテクチャの実装により、発生した攻撃の範囲を制限することが可能になります。 タイムリーなトレーニングによりセキュリティ意識が強化され、ユーザーによるフィッシング攻撃の報告がサポートされます。シミュレートされたフィッシング攻撃は、独自のセキュリティ プログラムのギャップを特定するのに役立ちます。
詳細は Zscaler.com をご覧ください
ゼットスケーラーについて Zscaler はデジタル トランスフォーメーションを加速するため、顧客はより機敏で効率的、回復力があり、安全になります。 Zscaler Zero Trust Exchange は、人、デバイス、アプリケーションをどこからでも安全に接続することで、何千もの顧客をサイバー攻撃やデータ損失から保護します。 SSE ベースのゼロ トラスト エクスチェンジは、世界最大のインライン クラウド セキュリティ プラットフォームであり、世界中の 150 以上のデータ センターに分散されています。