サイバー攻撃関連
2025年6月27日 週刊インシデントまとめ
ポストはじめに
これまで、オンラインバンキングの不正送金やECサイトでのクレジットカード詐欺といったサイバー犯罪は以前から問題視されてきました。しかし最近では、証券口座が乗っ取られ、株式が勝手に売買されるという新たな被害が続いています。
数日中に報告されたフィッシング被害の中から、注目すべきインシデントを国内・国外それぞれピックアップし、手口や影響、対策の動きなどを紹介します。
目次
考察・ポイント
フィッシング詐欺は年々手口が高度化し、国内外で深刻な脅威となっています。日本国内では、メールやSMSに加え、電話を使った「ボイスフィッシング」も増加傾向にあります。攻撃者が金融機関や企業関係者になりすまして電話をかけ、生成AIでCEOの声を模倣する事例も報告されています。さらに、2025年にはマイナンバーカードの更新対象者が約2,770万人にのぼると見込まれており、その通知を装ったフィッシングメールの拡大が懸念されています。
一方、米国ではFBIがSMSによる「通行料未払い詐欺」への警戒を呼びかけています。偽の政府サイトに誘導し、カード情報を盗む手口は、日本でも無関係ではありません。さらに、世界各国ではMicrosoft Exchangeの脆弱性を突いたキーロガー攻撃が拡大。ログインページに悪意あるコードを埋め込むことで、利用者の認証情報IDやパスワードが密かに盗まれています。
生成AIや音声合成の活用によりフィッシング攻撃はさらに巧妙になり、個人の心理的な油断や業務上の注意不足を狙う手口が増えています。もはや「見た目が怪しい」だけでは見抜けず、わずかな判断ミスが重大な情報漏洩につながりかねません。こうした状況に対応するには、最新のセキュリティパッチの適用はもちろんのこと、FIDOなどのフィッシング耐性のあるパスワードレス認証の導入や、不審なリンクを避ける運用ルールの徹底、従業員への継続的な教育に加え、必要に応じて取引先や顧客への注意喚起や連携も検討しつつ、組織内の多層的な防御体制の強化を図ることが重要です。
国内の主なインシデント
巧妙化するボイスフィッシングの手口と対策
フィッシング詐欺と言えばメールやSMSによるものを思い浮かべがちですが、電話などの音声を使ったボイスフィッシングにも注意が必要です。
攻撃者は金融機関などを名乗ったり、生成AIを悪用し企業のCEOなどの声を装う事例も報告されています。攻撃者の目的はメールによる攻撃と同様、個人情報や金融情報を窃取しようとしたり、聞き出したメールアドレス宛にフィッシングメールを送信し情報を入力させる手口も確認されています。
基本的な対策もメールなどによるフィッシング攻撃と同じく、多要素認証（MFA）やFIDO認証、デバイス証明書などを有効的に活用することが推奨されます。
警察庁「今、企業の資産（法人口座）がねらわれている！！」
2025年、マイナンバーカード更新に潜むフィッシング攻撃のリスク - NTTデータ
ITサービスなど幅広い領域で事業を展開しているNTTデータグループは、サイバーセキュリティに関するグローバル動向についての調査結果を公表しました。
このレポートでは、2025年度には全国で約2,770万人がマイナンバーカードの更新を迎えることに言及しています。この大量の更新者による電子証明書の更新を狙ったフィッシング詐欺などのサイバー攻撃が行われる可能性を指摘しています。
届いたメールのURLを安易にクリックしないために、事前に公式アプリをインストールしたりウェブサイトをブックマークしたりしておくことが大切です。また、緊急性を煽るような内容が書かれていても焦らず、一度落ち着いて判断することが肝要です。
国外の主なインシデント
FBI、新たなSMS通行料詐欺に関する緊急警告を発表
FBI（米連邦捜査局）は現在、全米で急増しているSMSを使った通行料詐欺に対し、緊急の注意喚起を行っています。この詐欺は、あたかも運輸局（DMV）からの未払い通行料の通知を装ったテキストメッセージを送りつけ、受信者に偽のリンクをクリックさせることで、クレジットカード情報などの個人情報を盗み取ろうとする手口です。
メッセージに含まれるリンク先は、本物の政府機関のサイトに似せた偽の決済ページで、ロゴやフォント、色使いまで巧妙に模倣されています。また、遅延料金や法的措置を示唆するなど、受信者の不安をあおって冷静な判断を鈍らせる仕組みになっています。
このようなメッセージには、名前や車両番号の記載がない、文法の誤りがあるなどの特徴があります。FBIは、不審な点が少しでもある場合は、リンクは決して開かず、すぐにメッセージを削除し、必要に応じて正規の機関に直接確認するよう呼びかけています。
Microsoft Exchangeを標的としたキーロガー攻撃、26カ国で被害拡大
サイバーセキュリティ企業Positive Technologiesの報告によると、正体不明の攻撃者が世界各国のMicrosoft Exchangeサーバーを標的に、ログインページにキーロガーを埋め込んで認証情報を盗み出す攻撃が確認されました。これまでに26カ国・65の組織が被害を受けており、政府機関、銀行、IT企業、教育機関など多岐にわたる業種が含まれています。
この攻撃は、ProxyShellやProxyLogonなど、Microsoft Exchange Serverに存在する既知の脆弱性を悪用し、Outlookのログイン画面にJavaScript製の不正コードを挿入することで実行されます。ユーザーがIDやパスワードを入力すると、それらの情報が盗まれる仕組みです。
Positive Technologiesの研究者は、「多くのExchangeサーバーが古い脆弱性の対策を行っていないため、攻撃者は正規の認証ページに悪意あるコードを埋め込み、ユーザーのIDやパスワードを暗号化されていない状態のまま、長期間にわたり密かに盗み続けている」と警鐘を鳴らしています。
