公開日：2024年7月5日
これまでのブログ記事では、デバイスのインテリジェンスと行動分析がいかに不正行為を未然に防ぐかについて解説してきました。しかし、具体的にどのような種類の詐欺について話しているのでしょうか？
お客様と一般的な詐欺の手口について話し合う際、詐欺が実際にどのようなものなのか、どのような行動をとるのかについて、しばしばある程度の不確実性が見られます。人々は一般的に、悪意のある者が用いる様々な手口をよく理解しているものの、詐欺の手口の全容を完全に理解し、それぞれの手法を明確に定義するには、まだ多くの努力が必要である。それは当然のことだ。オンライン詐欺師は急速に、そして同時に様々な方向に進化し続けているのだから。
覚えておくべき重要な原則の一つは、サイバー攻撃は詐欺師にとって時間、お金、エネルギーの投資であるということです。退職後の資金をどこに投資するかを決める前に、2つの投資信託を比較検討するのと同じように、詐欺師もさまざまな攻撃手法のメリットとデメリットを比較検討する。あなたは、いざという時のために蓄財していて、資源を出し惜しみするような悪質な人物と関わっているのでしょうか？それとも、あなたの詐欺師は、大きな利益をすぐに得るためにリスクを厭わない、危険な賭けに出るような人物なのでしょうか？おそらく、あなたのサイバーセキュリティの脅威は、より長期的な視点に立っており、時間をかけてゆっくりと蓄えを増やしていくことに興味を持っているのでしょう。これらの悪意のある攻撃者は、いずれもあなたのシステムに侵入するという共通の目標を持っていますが、それぞれが独自のニーズや好みに合った投資レベルの戦略を選択します。
あらゆる投資レベルにおいて、今日の主要なサイバーセキュリティ脅威に関する知識を深めていただくために、現在最も頻繁に見られる詐欺の種類と、それらに対する対策について解説します。
以下のリストは決して網羅的なものではありません。そこで、サイバーセキュリティ戦略についてチームと話し合う際に、最もよく話題に上がる可能性のある詐欺の手口に絞り込みました。
これらの脅威はそれぞれ、デスクトップ、モバイル、あるいはその両方に適用されるかどうかにかかわらず、全体的なデジタル戦略に考慮に入れるべきです。これらの手口は、詐欺師の投資レベル（低額から高額まで）によって測られるスペクトラム上に存在する。投資レベルは、悪意のある攻撃者が攻撃に費やすリソースと時間、攻撃手法の拡張性、そして成功の可能性によって異なります。
自動アカウント乗っ取りでは、悪意のある人物がボットや基本的な自動化ツールを使って詐欺行為を行います。例えば、単純なクレデンシャルスタッフィング攻撃では、詐欺師は、盗んだ数千ものユーザー認証情報を数秒で入力できる単純な自動スクリプトを展開し、ログインページを読み込むことなくサイトにログインしようと試みます。
詐欺師はオンライン上でボットや攻撃を隠蔽するために一定の対策を講じることができるが、この手法は非人間的な要素に大きく依存している。つまり、攻撃が高度でない場合、つまり人間の行動を模倣していない場合、自動化の兆候を的確に捉える最も基本的なボット検出ツールによって阻止される可能性が高い。危険信号としては、同一IPアドレスから異なる認証情報を使用して複数回ログインを試みる場合や、人間には不可能な速さで認証情報を入力する場合などが挙げられる。
人間もアカウント乗っ取りに関与することがある。しかし、人間が主導する攻撃は監視と高度化の面で優位に立つ一方で、拡張性の面で劣る。例えば、詐欺師がオンラインで1万件のユーザー認証情報のリストを購入した場合、そのサイバー犯罪者が一つ一つ手動でログインを試すのは非現実的です。
人間ファームは、人間によるアカウント乗っ取りの拡張性の問題を解決する。現在では、詐欺師たちはその1万件ものユーザー認証情報のリストを、低賃金で働く多くの人々に委託することができる。人間の才能を活用することで規模が拡大し、多くの場合、成功率も向上します。なぜなら、これらの労働者はボット検出ツールによって自動化された作業者と誤認されないからです。
詐欺師が人間農場からの支援を求める事例は他にも数多く存在する。例えば、自動スクリプトによって正しい認証情報が入力されると、標的企業のセキュリティシステムがボットのような動作を検知し、CAPTCHAのような典型的な障壁を提示する可能性がある。詐欺師の自動スクリプトは、CAPTCHA認証画面を即座に人間の農場労働者の画面にリダイレクトし、その労働者は簡単に認証を解いてセキュリティ対策を回避してしまう。ログインに成功しましたが、個人情報が盗まれました。
一般的に、マルウェアとは詐欺師によって作成された悪意のあるファイルまたはコードのことで、仮想的に私たちのデバイスに感染します。私たちは、不審なウェブサイトにアクセスしたり、公共のネットワークでデバイスを使用したりする際に、マルウェアに感染する可能性があります。
マルウェアには、ランサムウェアやスパイウェアなど、さまざまな種類や形態が存在する。しかし、ほとんどの企業にとって、認証情報を盗むマルウェアは特に懸念される問題である。この悪意のあるソフトウェアは、ユーザーのデバイスに感染すると、詐欺師に被害者のユーザー名とパスワード、場合によってはその他の重要な個人情報へのAccessを与えます。とはいえ、認証情報を盗むマルウェアのほとんどの場合、悪意のある攻撃者はユーザー情報を悪用する際に、依然として自身のデバイスと位置情報に依存しているため、発見されやすい。
一部の詐欺師は、ユーザーのデバイス自体を乗っ取ることで、この抜け穴さえも塞いでしまっている。この種の攻撃には、リモートAccess型トロイの木馬（RAT）と呼ばれるマルウェアの一種が関与しています。ユーザーのデバイスがRAT（リモートアクセス型トロイの木馬）に感染すると、詐欺師はユーザーの既知のデバイスにリモートでログインし、そこで操作を実行できるようになります。認証情報がそのデバイスに保存されると、不正行為者が正規の顧客と同じデバイス、位置情報、認証情報にアクセスできるようになるため、善意のユーザーと悪意のあるユーザーを区別することが難しくなります。
この手口は、ユーザー自身の参加や許可を悪用する形で、不正なやり取りを完了させる。例えば、詐欺師があなたの銀行のウェブサイトにあなたのユーザー名とパスワードを入力した後、何が起こるかを考えてみてください。適切なサイバーセキュリティ対策が講じられていれば、銀行は新しいデバイス、位置情報、異常な時間や物理的なやり取りなどに基づいて、そのやり取りを検知するはずです。こうした危険信号は、最終的には電話による認証コードという形で介入を促す可能性がある。
詐欺師があなたの電話番号も知っている場合、銀行の担当者を装ってあなたに連絡を取り、事実上、自分の家の鍵を渡すようなことをあなたにさせようとする可能性があります。そうすれば、悪意のある人物は簡単に自分の銀行口座に送金できる。銀行のサイバーセキュリティ戦略では、このような行動を異常として検知すべきですが、目標はこうした異常事態をより早期に防ぐことです。詐欺師は、国税庁などの主要機関になりすますことで、ユーザーの恐怖心やデジタル空間に関する知識不足につけ込み、被害を拡大させる可能性がある。このプロセスは規模を拡大するのが難しいため、より多くの時間と投資が必要となるが、その分、より高い収益が得られる可能性もある。
こうしたケースでは、詐欺師はユーザーを巧みに誘導し、ユーザーを保護するために設計されたサイバーセキュリティ対策を回避させてしまうことがある。
一般的な不正行為の種類について理解を深め、これらの手口がビジネスにどのような脅威をもたらすかについてチームと認識を合わせるにつれて、ユーザーの行動における異常を検知する訓練を受けた第三者ベンダーの支援を依頼することがしばしば有効になります。
サイバーセキュリティ技術との提携により、ユーザーエクスペリエンスに影響を与えることなく、最新のデバイスインテリジェンス、行動分析、行動ツールを利用できるようになります。最先端のサイバーセキュリティ技術を活用することで、行動の異常を検知し、どの高リスクなやり取りや取引に対して、自社によるさらなる介入が必要かを判断する権限を保持することができます。自動化されたシステム、人間による操作、あるいは疑わしい信頼できるユーザーなど、危険信号に対応する際には、必要な場合にのみ制限を設けることで、善良なユーザーは最小限の手間で自由に操作できるようになります。
行動データとデバイスデータの両方を評価する技術は、ここで議論した脅威間の微妙な違いだけでなく、リストに含まれていない脅威も検出することができます。例えば、デバイスインテリジェンス戦略は特定の種類のアカウント乗っ取りやマルウェア攻撃を効果的に阻止できるかもしれないが、行動分析ツールは他の脅威が発生した場合に介入するのに、より優れている。例えば、RAT（リモートアクセスツール）に対処する場合、善意のユーザーと悪意のあるユーザーを見分けることは、顧客が通常どのようにマウスを動かすか、あるいはどれくらいの速さで情報を入力するかを追跡するといった、微妙な違いに左右される可能性がある。
