🔰SBI証券をかたる偽サイト💣️ハッカーは「人間の焦り」を狙っている🔯ミカと教授のサイバーセキュリテイ🖥️第6回

フィッシング――「システムではなく、人間をログイン画面へ誘導する」

ミカ「教授、前回のクレデンシャルスタッフィングでは、別の会社から漏れたパスワードを使われる話でしたね」
教授「そうだった」
ミカ「今回のフィッシングでは、パスワードをどうやって盗むのですか」
教授「本人に入力してもらう」
ミカ「そんな親切な人がいるのですか」
教授「『24時間以内に確認しないとアカウントを停止します』とメールが来たら？」
ミカ「ちょっと焦ります」
教授「『不正アクセスを検知しました。至急ログインしてください』なら？」
ミカ「もっと焦ります」
教授「その焦っているミカが、今日の攻撃対象だ」
ミカ「パソコンではなく、私ですか」
教授「そうだ。フィッシングが狙う最大の脆弱性は、人間の判断である」

これは何を狙う攻撃なのか

ミカ「フィッシングとは、そもそも何ですか」
教授「実在する銀行、証券会社、通販会社、宅配会社などを装い、本物そっくりのメールやSMSを送り、偽サイトへ誘導して認証情報などを入力させる攻撃だ」
ミカ「偽のログイン画面ですね」
教授「そうだ。フィッシング対策協議会も、実在する組織をかたり、ユーザー名、パスワード、クレジットカード番号などを詐取する手口として説明している。(アンチフィッシング)」
ミカ「攻撃者は会社のサーバーへ侵入する必要がない？」
教授「必ずしもない。利用者を攻撃者が作った入口へ連れてくればよい」
ミカ「玄関を壊さず、偽物の玄関を作る」
教授「そして本人に鍵を差し込んでもらう」
ミカ「ずいぶん横着な泥棒ですね」
教授「効率化という意味では優秀だ。褒めてはいけないが」

なぜ成立するのか

ミカ「でも、本物と偽物くらい見分けられるのでは？」
教授「そう思う人ほど注意したほうがよい」
ミカ「なぜですか」
教授「攻撃者は、適当なメールだけを送るわけではない。企業名、ロゴ、文章、画面構成などを本物らしく見せる」
ミカ「さらに『至急』」
教授「そうだ。人間は時間的な圧力をかけられると、確認より行動を優先しやすくなる」
ミカ「『本日中に確認してください』」
教授「『不正利用が確認されました』」
ミカ「『支払い方法を更新してください』」
教授「『荷物をお届けできませんでした』」
ミカ「全部クリックしたくなる文章ですね」
教授「攻撃者はコンピューターの性能より、人間が何を見たら焦るかを研究していると思ったほうがよい」
ミカ「サイバー攻撃なのに心理学ですね」
教授「優れたフィッシングメールには、プログラムより人間観察が詰まっている」

身近な例に置き換える

ミカ「今回も身近な例でお願いします」
教授「では銀行のATMにしよう」
ミカ「はい」
教授「いつもの銀行の隣に、外観がそっくりな偽ATMが置かれている」
ミカ「怖いですね」
教授「画面には銀行名も表示されている。ミカは本物だと思ってキャッシュカードを入れる」
ミカ「暗証番号も入力します」
教授「すると偽ATMは『ただいま利用できません』と表示する」
ミカ「私は『故障かな』と思って帰る」
教授「しかし攻撃者はカード情報と暗証番号を得た」
ミカ「なるほど。フィッシングサイトは偽ATMのWeb版ですね」
教授「そう考えると分かりやすい」
ミカ「本物の銀行を破ったわけではない」
教授「利用者が偽物を本物だと思って情報を渡してしまった」
ミカ「だから会社がどれほど強固なシステムを作っても、人間が別のサイトへ入力したら困る」
教授「今日の重要なポイントだ」

日本で現実に起きた証券口座の被害

ミカ「実際に日本でも大きな問題になっているのですか」
教授「なっている。2025年には、実在する証券会社を装ったフィッシングサイトなどで盗まれたログインIDやパスワードを利用した、証券口座への不正アクセス・不正取引が大きな問題になった」
ミカ「証券会社のシステムそのものを壊したのではない？」
教授「金融庁は、証券会社を装った偽サイトなどで窃取された顧客情報を使った不正アクセス・不正取引について注意喚起している。(金融庁)」
ミカ「本物そっくりの証券会社のログイン画面へ入力してしまう」
教授「そして盗まれた認証情報が、本物の証券会社で使われる」
ミカ「偽サイトが入口で、本物の口座が出口なのですね」
教授「そうだ」
ミカ「パスワードを盗まれた後、不正売買まで行われる可能性がある？」
教授「金融庁が認証方法や不正防止策の強化を進めるほど深刻な問題になった。(金融庁)」
ミカ「フィッシングは『変なメールが届きました』だけの話ではないのですね」
教授「その後に本物のサービスへ侵入するための認証情報を渡してしまうことが問題なのだ」

SBI証券などをかたるフィッシングも大量に報告された

ミカ「具体的には、どんな会社がかたられるのですか」
教授「2025年にはSBI証券など証券会社をかたるフィッシングが多数報告された。フィッシング対策協議会の2025年5月の集計では、SBI証券をかたるものが報告全体の約23.3％を占めていた。
ミカ「4件に1件近いですね」
教授「その月は証券系フィッシング全体の比率も高かった」
ミカ「なぜ証券会社なのでしょう」
教授「認証情報を取得して口座へ侵入できれば、金銭的な被害へ直結する可能性があるからだ」
ミカ「攻撃者も投資先を選ぶのですね」
教授「その投資判断だけは参考にしてはいけない」

フィッシングメールの典型的な心理作戦

ミカ「どういう文章に注意すればよいですか」
教授「特徴を一つずつ暗記するより、自分の感情が急に動かされたときに警戒するとよい」
ミカ「感情？」
教授「例えば恐怖だ」
ミカ「『アカウントが停止されます』」
教授「焦り」
ミカ「『本日中に手続きしてください』」
教授「欲」
ミカ「『ポイントをプレゼントします』」
教授「好奇心」
ミカ「『重要なお知らせがあります』」
教授「そして権威」
ミカ「『〇〇銀行セキュリティセンター』」
教授「そうだ。攻撃者は、リンクをクリックさせる前に人間の冷静さをログアウトさせる」
ミカ「うまいこと言いましたね」
教授「今日は調子がよい」

メールアドレスが本物っぽくても安心できない

ミカ「でも送信者名を確認すればよいでしょう」
教授「もちろん確認する。しかし、表示されている名前だけで判断してはいけない」
ミカ「『〇〇銀行』と表示されていても？」
教授「表示名は本物らしく見せられる場合がある」
ミカ「では、URLを見ます」
教授「それも重要だ。ただしスマートフォンではURL全体が見えにくい場合もあり、人間の目だけですべての偽サイトを完璧に判別するのは難しい」
ミカ「ではどうするのですか」
教授「メールやSMSのリンクから重要なサービスへログインしない習慣を作る」
ミカ「公式アプリや、普段使っているブックマークから開く」
教授「そうだ」
ミカ「リンクを鑑定するより、そもそも踏まない」
教授「良い防御は、毎回名探偵になる必要をなくしてくれる」

QRコードも入口になる

ミカ「フィッシングはメールのリンクだけですか」
教授「いや。SMS、SNS、広告、QRコードなど、偽サイトへ誘導できれば入口はさまざまだ」
ミカ「QRコードならURLが見えませんね」
教授「そこが注意点だ。『本人確認はこちら』などとQRコードを読み取らせ、偽ページへ誘導する手口も考えられる」
ミカ「紙だから安心、ではない」
教授「インターネットへの入口である以上、紙に印刷されていてもサイバー攻撃につながり得る」
ミカ「教授、レストランのメニューまで疑っていたら食事ができません」
教授「メニューを疑えとは言っていない。ログインIDとパスワードを要求された瞬間に頭を切り替えなさい」

成立すると何が起きるか

ミカ「偽サイトへパスワードを入力したら、その後どうなりますか」
教授「攻撃者が本物のサービスへログインを試す可能性がある」
ミカ「前回のクレデンシャルスタッフィングとつながりました」
教授「そうだ。フィッシングは認証情報を取得する入口になり得る」
ミカ「メールアカウントなら？」
教授「メールを読まれたり、別サービスのパスワード再設定に悪用されたりする可能性がある」
ミカ「銀行なら？」
教授「不正送金につながる可能性がある」
ミカ「証券口座なら？」
教授「不正アクセスや不正取引につながる可能性がある。金融庁が近年強く注意喚起している部分だ。(金融庁)」
ミカ「会社のクラウドアカウントなら？」
教授「社内データ、メール、ファイルなどへの侵入口になる可能性がある」
ミカ「一本釣りのように見えて、釣った後が大きいですね」
教授「だからPhishingなのだ」
ミカ「本当にFishingから来ているのですか」
教授「語源の説明には諸説あるので、今日は『人を釣るイメージ』までにしておこう」

安全な範囲で仕組みを確認する

ミカ「今回も攻撃そのものはせず、仕組みだけ確認しましょう」
教授「では黒板に二つのログイン画面を書く」
ミカ「左が本物の『A銀行』、右が偽物の『A銀行そっくりサイト』」
教授「利用者へメールが届く。『不正利用を検知しました。至急確認してください』」
ミカ「メールのリンクを押す」
教授「偽物のログイン画面が開く」
ミカ「私は銀行のIDとパスワードを入力する」
教授「その情報が攻撃者へ渡る」
ミカ「攻撃者はその情報を使って、本物のA銀行へログインを試す」
教授「これが基本的な流れだ」
ミカ「ではメールのリンクを押さず、銀行公式アプリを自分で開いたら？」
教授「偽サイトへの経路を一つ切れる」
ミカ「さらに多要素認証やパスキーがあれば？」
教授「盗んだパスワードだけでは突破しにくくなる」
ミカ「つまり、利用者の行動とサービス側の防御の両方が必要」
教授「そうだ。人間を完璧にするのではなく、人間が間違えても被害が広がりにくくする」

プログラマーはどう防ぐか

ミカ「フィッシングサイトは自社の外に作られるのに、プログラマーにもできることがありますか」
教授「大いにある」
ミカ「例えば？」
教授「第一に、パスワードだけで本人確認を完結させない」
ミカ「多要素認証ですね」
教授「そうだ。さらに、フィッシング耐性の高い認証方式としてパスキーなども検討できる」
ミカ「ログイン後の異常も見る？」
教授「重要だ。普段とは違う端末、場所、行動などを検知し、必要に応じて追加認証を求める」
ミカ「パスワードが正しいから即OKではない」
教授「そういう設計だ」
ミカ「利用者へログイン通知を出すのも有効ですね」
教授「身に覚えのないログインを早く発見できる」
ミカ「会社側は本物のメールを分かりやすくする必要もありますね」
教授「重要だ。本物のメールで毎回『至急こちらをクリック』『ここからログイン』ばかり送っていれば、利用者に危険な習慣を教育してしまう」
ミカ「企業自身がフィッシング訓練をしてしまう」
教授「攻撃者向けのな」

プログラマーが覚えておきたい基本

ミカ「今回もまとめてください」
教授「七つにしよう」
・パスワードだけに依存せず、多要素認証やパスキーを検討する
・ログインの異常を検知し、必要に応じて追加認証を求める
・重要な操作では再認証を検討する
・不審なログインを利用者へ通知する
・公式サイトやアプリから安全にログインできる導線を分かりやすくする
・メールやSMSで安易に認証情報の入力を促さない
・利用者が間違えても被害が拡大しにくい設計にする
ミカ「今回はプログラムだけでなく、画面やメールの設計まで含まれていますね」
教授「セキュリティはコードだけの問題ではない。利用者がどう行動するかまで含めた設計なのだ」

経営者・利用者はどう防ぐか

ミカ「では利用者側は？」
教授「まず、メールやSMSで『ログインしてください』と言われても、そのリンクから入らない習慣をつける」
ミカ「公式アプリ、ブックマーク、自分で入力した公式サイトから入る」
教授「そうだ」
ミカ「多要素認証も有効にする」
教授「重要だ」
ミカ「パスワードを使い回さない」
教授「前回から引き続き重要だ」
ミカ「フィッシングで一つ盗まれても、別のサービスまで連鎖しない」
教授「そういうことだ」
ミカ「そして、入力してしまったと気付いたら？」
教授「すぐに正規サイトからパスワードを変更し、同じパスワードを使っている他サービスも確認する。重要なサービスなら事業者へ連絡し、取引やログイン履歴も確認する」
ミカ「恥ずかしいから黙っている、はだめですね」
教授「セキュリティ事故では、恥ずかしさより速度だ」

経営者がやってはいけない研修

ミカ「会社ではフィッシング研修をすればよいですね」
教授「ただし、『怪しいメールに気を付けましょう』だけで終わってはいけない」
ミカ「気を付けるだけでは難しい？」
教授「毎日何十通もメールを受け取る社員に、常に100％の集中力を要求するのは現実的ではない」
ミカ「『絶対クリックするな。以上』では？」
教授「それはセキュリティ対策というより精神論だ」
ミカ「昔のスポーツ部みたいですね」
教授「水を飲むな、リンクを押すな、気合で見破れ」
ミカ「全部危険そうです」
教授「重要なのは、教育に加えてMFA、メール対策、アクセス制御、ログ監視、権限管理などを組み合わせることだ」

2025年の証券口座問題が教えたこと

ミカ「日本の証券口座の問題から、経営者は何を学べばよいでしょう」
教授「利用者が偽サイトへ情報を入力する可能性をゼロとは考えないことだ」
ミカ「人は間違える前提」
教授「そうだ。2025年に証券会社を装うフィッシングなどを経由した不正アクセス・不正取引が多発し、金融庁は認証方法や不正防止策の強化に動いた。(金融庁)」
ミカ「利用者へ『注意してください』だけでは足りなかった」
教授「だから仕組みそのものを強化する必要がある」
ミカ「社員教育とシステム対策は、どちらか一つではない」
教授「そうだ。人間を教育し、同時に人間を信用しすぎないシステムを作る」
ミカ「教授、それは人間不信では？」
教授「人間への理解だ」

フィッシングで最も危険なのは「急がされること」

ミカ「結局、私は何を覚えて帰ればよいですか」
教授「重要なメールやSMSほど、急がされたら急がない」
ミカ「逆に？」
教授「そうだ。『今すぐ』『至急』『24時間以内』『アカウント停止』と書いてあったら、反射的にクリックしない」
ミカ「一度閉じる」
教授「そして公式アプリや普段の入口から確認する」
ミカ「本当に問題があるなら、そちらにも表示される可能性がありますね」
教授「少なくともメールのリンクだけを根拠に認証情報を入力する必要はない」
ミカ「急がされたら、ゆっくり確認する」
教授「攻撃者が欲しいのはパスワードだけではない。考える時間を奪いたいのだ」

ミカと教授の一言で締める

ミカ「教授、今日のフィッシングを一言で説明してください」
教授「システムの鍵を壊すのではなく、偽物の玄関を作って本人から鍵を渡してもらう攻撃だ」
ミカ「攻撃者は何を狙う？」
教授「パスワードだけではない。人間の焦り、不安、欲、そして思い込みだ」
ミカ「一番簡単な防御は？」
教授「メールやSMSから直接ログインしない」
ミカ「公式アプリやいつものブックマークから開く」
教授「そしてMFAやパスキーを使う」
ミカ「『至急ログインしてください』と来たら？」
教授「至急、落ち着く」
ミカ「矛盾していませんか」
教授「フィッシング対策では、その矛盾が正解だ」
ミカ「では教授から『至急、今日のレポートを提出してください』とメールが来たら？」
教授「それは本物だ」
ミカ「そこだけフィッシングであってほしかったです」

次回予告

第7回　セッションハイジャック――「パスワードを知らなくても、ログイン済みの状態を奪えるのか」

ミカ「次回はパスワードを盗まないのですか」
教授「盗まない場合がある」
ミカ「フィッシングでようやくパスワードを守ったのに」
教授「今度は、ログインした後の状態そのものを考える」
ミカ「このシリーズ、玄関を守るたびに別の窓が出てきますね」
教授「だからタイトルが『ハッカーはどこから入る？』なのだ」