フィッシングサイトはインターネットに繋がるパソコン、スマホ、タブレットなら誰にでもアクセス可能です。

昨今では企業や組織内のデバイスからアクセスしてしまうことによる被害も増えてきました。情報システム部の担当者として充分に気を付けていても、組織内の他の人がフィッシングサイトにアクセスしてしまえば、結果的に何らかの被害を受けてしまう可能性も否めません。

今回は企業や組織として、フィッシングサイトによる被害を受けないようにするための基礎知識や対処法、予防策をご紹介します。

フィッシングサイトとは

フィッシングサイトとはアクセスした人を騙して情報を盗む「詐欺」サイトであり、インターネットを介して行われる犯罪、すなわちサイバー攻撃です。

人の不安や焦りも含めて、心理を悪用することで正常な判断を奪い「本人だけが知る情報」を取得されてしまいます。

企業や組織の場合、メールアドレスのアカウント情報、サーバーにアクセス可能なログイン情報など、機密情報にアクセスできる情報が狙われています。インターネットに繋がっているパソコンであれば、企業や組織内のネットワークを介して機密情報が盗み出されてしまうということです。

フィッシングサイトによる被害

厳密にはフィッシングサイトにアクセスするだけでは被害を受けることはありません。フィッシングサイトによる被害は「自分自身が悪意のある第三者に正しい情報を伝えた場合」に起きると言えます。

企業や組織に属する人間のメールアドレスやサーバー、社内システムの機密領域へのアカウント/ログイン情報が知られてしまった場合、情報漏洩、データの流出、情報の改竄などによる被害を受けてしまいます。

フィッシングサイト、フィッシング詐欺による影響を甘く見てしまうと、想像できないような大きな被害に発展することもありますので注意が必要です。

フィッシングサイトの対処法と予防策

次にフィッシングサイトの対処法と予防策をチェックしてみましょう。

偽装されたサイトに注意する

フィッシングサイトは各種企業やサービスの公式ページを模倣して偽装することがあります。例えばオンラインバンキング、クレジットカードのログイン画面など、公式ページのデザイン（HTMLやCSS）を悪用して、まるで本物かのように見せかけるのです。

企業や組織の場合、ログインする形のオンラインサービスを偽装したフィッシングサイトにアクセスしログイン情報を盗まれる恐れがあります。普段ログインするために経由する手順以外の方法でログインさせられそうになったら十分に注意しましょう。

怪しいと感じたメールやメッセージのURLリンクをクリックしない

何らかのマルウェアに感染した取引先、社内や組織内のパソコンからメールが送られてくる可能性があります。上司や同僚、取引先やお得意さまに「成りすまされた」メールにURLが記載されていていることも考えられますので、メールにURLがあったら怪しいと考えて、まずは本人に確認することをおすすめします。

また、本人に確認する場合はそのままメールに返信するのではなく、他の連絡方法にて確認するようにしましょう。返信が何らかのトリガーとなり、悪質なウイルスによってさらに返信され騙されるのを防ぐためです。

IDやパスワードを入力する時に注意

業務上、普段利用しているオンラインサービスなど、IDやパスワードを入力する時が一番危険です。「いつも使ってるから大丈夫だろう」と考えてしまい、同じような画面なだけで信じてしまうことで騙されることもあります。

エラーや再設定など、怪しいメールやメッセージに記載されているURLにアクセスしたタイミングでIDやパスワードを求められたら、まずは一度、Googleで公式サイトを検索して、公式サイトのドメインからログインするのがおすすめです。本当に何か問題やエラーがある場合、オンラインサービスであればログイン後に何らかの情報が表示される可能性があります。もし、ログインしても何もない場合は、繰り返しになりますが公式サイトから問合せをしてみましょう。

普段使うオンラインサービスを「ブックマーク」に登録しておく

先に普段使っているオンラインサービスのドメインやURLを調べておき、ブラウザのブックマークに登録しておくのも簡単にできておすすめな方法です。怪しいメールにURLが記載されていてもそちらからはアクセスせず、普段利用しているブックマークのURLからアクセスして、問合せ方法を調べて問い合わせるようにすればまず間違いはないでしょう。

ただし、何らかの形でパソコンが乗っ取られていた場合、ブラウザのブックマークさえも書き換えられることもあります。念には念を入れて、ブックマークしてあるURLを再度チェックし、場合によってはGoogleで検索、公式サイトからアクセス、問合せの流れで問い合わせるようにしてください。

パソコンやスマホを最新の状態にする

セキュリティ対策の基礎として、パソコンやスマホ、タブレットを最新の状態にするのも忘れないようにしてください。特にブラウザやメールソフトのアップデートは欠かさないようにしましょう。

もし、何らかのかたちでマルウェアに感染した場合、利用しているメールアドレスが悪意のある第三者に伝わってしまえばフィッシングサイトへ誘導される可能性も高まりますし、メールソフト内のメールを悪用するために引用されてしまうと高い確率で騙されてしまう可能性があるからです。

サイバー攻撃は一つの手段だけでなく、複合的に攻撃してくるものであり、フィッシングサイトに気を付けるだけでなく、他のサイバー攻撃に関する知識も増やしておきましょう。

まとめ：情報システム管理・セキュリティ担当者としてどうすべきか

フィッシングサイトによる被害を個人のものと考えず、今回ご紹介したフィッシングサイトの基礎知識や対策、予防策の情報を共有し、企業や組織に属する全ての人に注意を促しましょう。

基本的にほとんどのサイバー攻撃は「手口を知らない」人間を騙すことに長けています。手口を知ってさえいれば防げる可能性が高まりますし、怪しいと思ったら担当者に相談する体制を整えておけば感染や被害のリスクを少なくすることができます。

企業や組織内の人間がフィッシングサイトに騙された場合、情報を盗み出されるだけでなく、何らかのマルウェアに感染させられたり、間接的に他のログイン情報を盗み出されたりと被害が大きくなる可能性があります。

また、単なるセキュリティ意識の向上や啓発だけでなく、システム面でサイバー攻撃への対策を行うことも必要でしょう。

当社では、総合IT資産管理ソフトとして「AssetView」を提供しております。フィッシングサイトによる被害を受け、間接的に企業や組織内に被害が拡大することを防ぐことが可能ですので、ぜひとも導入をご検討ください。