トレンドマイクロは2020年1月7日、2019年に発生したサイバー攻撃の動向に関する説明会を開いた。同社の岡本勝之セキュリティエバンジェリストは2019年のサイバー攻撃を「常識を覆すサイバー犯罪」と総括した。安全と思われていた認証方法などを突破する攻撃が増えたからだ。

 岡本エバンジェリストがまず挙げたのはフィッシング詐欺を使って2要素認証を突破する攻撃だ。フィッシング詐欺は古典的な攻撃手法であるものの、2019年はワンタイムパスワードを「横取り」する攻撃が増えたという。攻撃者は利用者を正規サイトとそっくりな詐欺サイトに誘導し、利用者が誤って入力したログイン情報を使って正規サイトにログインする。すると利用者には正規サイトからワンタイムパスワードが届く。

2要素認証を突破する攻撃の流れ
(出所:トレンドマイクロ)
[画像のクリックで拡大表示]

 利用者は詐欺サイトにワンタイムパスワードも入力してしまうが、だまされていると気がつかない。ワンタイムパスワードの入力後に攻撃者が正規サイトにリダイレクトしたり、処理が完了したといった画面を表示させたりするからだ。攻撃者は盗んだワンタイムパスワードを使って不正送金などの犯罪を働く。岡本エバンジェリストは「2020年は規模の小さい金融機関やEC(電子商取引)サイトなどの利用者が狙われる可能性がある」と警鐘を鳴らす。

 2019年は詐欺サイトに誘導する手法も変化した。具体的にはSMS(ショート・メッセージ・サービス)を多用するようになった。SMSで届く宅配便の不在通知などを偽装して誘導する攻撃は2017年末から流行の兆しがあったが「2019年に増加した」(岡本エバンジェリスト)。SMSの文字列を操作して、「これまでやり取りがあった企業のメッセージ履歴に追加する形で送信してくる攻撃もあった」(同)という。

 岡本エバンジェリストは巧妙化するサイバー攻撃への対策をいくつか挙げた。具体的には「攻撃手法を理解すること」「安易に本文中のURLにアクセスしないこと」「普段と違うタイミングで2要素認証や決済情報などの情報を求められた場合、URLなどを再度確認すること」などである。

トレンドマイクロの岡本勝之セキュリティエバンジェリスト
[画像のクリックで拡大表示]