Pマーク会社としての標的型攻撃メール対策

「国内標的型サイバー攻撃分析レポート 2017年版」を公開

ご紹介するのは2016年に国内で発生したサイバー攻撃の傾向をまとめたトレンドマイクロ社のレポートの要約記事です。

プライバシーマーク（Pマーク）を取得して個人情報保護に取り組む企業においても自社のセキュリティ対策に役立てることができる内容です。

記事の後半にある「3．標的型メールの『騙しの手口』がさらに巧妙化」にも着目していただきたいと思います。

電子メールを通じたセキュリティ攻撃やその兆候はどこのプライバシーマーク（Pマーク）取得会社にとっても無関係のものではありませんので、このような注意喚起がある度に最新情報と自社におけるメールセキュリティの現状とを比較しつつ改善の余地がないかどうかを確認する必要があると考えます。

よい機会ですので、今回のブログ記事では標的型攻撃メールの見分ける時の着眼点について説明いたします。「標的型攻撃メール」とは巧妙にウイルスが仕組まれたメールのことで、特定の会社・団体や個人を標的にして送られてくるもののことです。

差出人のアドレスを確認する

標的型攻撃メールの傾向としてフリーメールアドレスから送られてくることが多いという状況が観察されています。

攻撃メールが個人からの問い合わせや学生からの就活関連の連絡を装っている場合などはフリーメールアドレスから送られてくることにどうしても違和感を感じないままメールを開いてしまいそうになりますが、とにかくフリーメールアドレスで送信されたメールについては必ず一度ウイルスメールでないかを注意するようにしましょう。

メールのタイトルを確認する

標的型攻撃メールのタイトルとして偽装されたものにはこれまでに以下のようなものが報告されています。

• 取材申し込みや講演依頼
• 就職活動に関する問い合わせ
• アンケート
• 公的機関からの情報セキュリティに関する注意喚起
• 航空券の予約確認
• Webメールアカウントのパスワード更新の通知

就職活動に関する問い合わせやアンケートなどであれば見ず知らずの人からメールが送られてくることも珍しくありませんので不審に思わないまま開いてしまう人もいるかもしれません。

また「すぐにでも内容を確認しなければ！」と思わせるようなタイトルもあります。

タイトルに惑わされず、一度ウイルスメールかどうかを冷静に確認する必要になります。

メールの本文を確認する

不審なメールを受信することが多いプライバシーマーク（Pマーク）取得会社であればお気づきかと思いますが、日本語の言い回しが不自然であったり繁体字や簡体字が使用されていたりするようなメールは特に慎重に対応する必要があります。

また「Webメールアカウントのパスワード更新の通知」などのタイトルでメール文中にIDとパスワードを入力する画面があるようなメールはほぼフィッシングメールと見て間違いありませんので、信用しないようにしましょう。

この他にメールに添付されているファイルの形式などを見て標的型攻撃メールかどうかを見分けていく方法もありますが、この点はまた後日に詳しく記事にしたいと思います。

まとめ

メールによって個人情報やシステムを攻撃してくる相手は常に新技術を駆使して手を変え品を変え攻撃を仕掛けてきます。

プライバシーマーク（Pマーク）取得会社は自社の個人情報を守るために標的型攻撃メール対策を常に最新の状態にしておかなければなりません。

★こちらの記事もおすすめです！
→【シャレにならない新ルール（ＥＵの個人情報保護）【GDPRでISMS取得も有効な対策】】