サイバーセキュリティ事業を営むReliaQuestが2024年3月26日に発表したサイバー脅威に関する年次報告書によると（注1）、2023年の全セキュリティインシデントの71％で、攻撃者はフィッシング攻撃を使用していた。

　同報告書によると、攻撃者が被害者の環境へアクセスするために最初に使用した戦術や技術、手順のほとんどはユーザーの操作やエラーに関連していた。無防備な被害者が信頼してクリックしたり情報を入力したりするように仕向けられることが脆弱（ぜいじゃく）性となってしまっている。

　フィッシングは、はやり廃りのない古典的な手口だ。個人をだまして機密情報を漏えいさせたり、安全なシステムへのアクセスを許可させたりするソーシャルエンジニアリングの手口は効果があり、攻撃者も好んで利用する。これらの手口は人間の行動を利用し、信頼を攻撃者の武器に変える。

　ReliaQuestのマイケル・マクファーソン氏（シニアバイスプレジデント）は次のように述べた。

　「投資にかけられる費用を用意できず、巧妙な技術も持たない攻撃者でも利用できるため、フィッシングは人気の手口だ。フィッシングは人間の好奇心を利用するため、うまく機能する」

大規模な攻撃グループもフィッシングを利用

　大規模な攻撃グループもフィッシング攻撃を利用する。「Scattered Spider」（注2）は活発なランサムウェアグループの一つだ。MGM Resorts（注3）やCaesars Entertainment（注4）、Cloroxに対する大規模な攻撃に関与しており（注5）、ソーシャルエンジニアリング攻撃にも精通している。同グループは一部の攻撃でAlphVのランサムウェアも展開している。

　ReliaQuestによると、Scattered Spiderは2023年9月、ソーシャルエンジニアリング攻撃を使ってヘルプデスクの従業員をだまし、認証情報をリセットさせた。次に新しい偽の認証情報を使って多要素認証攻撃に移った。ただし、このときの具体的な攻撃対象は特定されていない。

　Scattered Spiderはクラウド管理コマンドを使用して「Microsoft Azure」の設定を変更し、侵害された環境でコードを実行できたと研究者は述べた。同ランサムウェアグループはその後、被害組織のCyberArkとLastPassの認証情報用のマスターパスワードを入手し、電子メール認証でリセットした。こうなると被害を受けた企業にはもはや防波堤が残っていない。

　ReliaQuestは、「人間との対話と多要素認証攻撃により、Scattered Spiderは、2023年に注目された攻撃のほとんどにおいて初期アクセスを獲得できた」と述べている。

　フィッシングに対抗するため、ReliaQuestは組織に対して生体認証やセッショントークンの寿命の短縮などの認証技術に注力するよう促している。マクファーソン氏は「これらの対策により、フィッシングやその他の一般的なソーシャルエンジニアリング攻撃に対する耐性を大幅に向上させることができる」と述べている。