「残高」「ご確認」……、日本語ばらまきメールに要注意：セキュリティ最初の一歩

2016年4〜6月期に企業が受信した攻撃メールの多くは、違和感のない日本語だったとIPAが報告。その手口を知っておこう。

[キーマンズネット]

　情報処理推進機構（IPA）が、2016年4〜6月期に「サイバー情報共有イニシアティブ（J-CSIP）」を通じて企業や組織と共有した攻撃メールと思われる不審なメールなどの情報をまとめました。この期間中、1818件の情報がIPAへと提供され、そのうちの1584件が「日本語のばらまき型メール」に関するものでした。IPAでは「この全てが標的型攻撃メールではない（標的型攻撃メールとみなした情報は1818件中35件）」とするものの「危険なウイルスメールである」と注意を呼び掛けています。

宅配便の配達通知を偽装したウイルスメールが登場

　日本語のばらまき型メールとは、件名や本文に日本語が使われたウイルスメールです。主に日本人を狙って広範囲に送信され、添付メールを開かせたり、URLリンクをクリックさせたりしようとします。IPAでは、「添付ファイルを開くとランサムウェアやオンラインバンキングの情報窃取を行うウイルスに感染するであろうことを確認している」としています。

　日本語が使われた攻撃メールは2015年10月ごろから国内で多く観測されています。そして、日を追うごとに文面が洗練され、今ではまるで業務連絡のような違和感がない日本語メールが届きます。特にこの四半期で特徴的だったのは、ヤマト運輸や日本郵便からの配達通知を偽装したものの登場でした。これらにはウイルスを含んだZIPファイルが添付されています。なお、偽装された2社とも「添付ファイル付きのメールは送っていない」と注意喚起を行っています。

　一般的な業務で使われるようなビジネスメールを偽装したウイルスメールも多数見つかりました。IPAによると「残高」「ご確認お願い致します」「状況一覧表」「製造依頼」といった短い件名と、簡潔で特に違和感のない本文を用いたメールです。一見、これらには「doc」「xlsx」「pdf」といった文書ファイルが添付されていますが、実際にはファイルの名前を偽装して圧縮された実行形式ファイルがほとんどです。

　送信者や送信元も「日本人が使いそうなメールアドレス」に偽装されています。IPAでは、「特定の送信元メールアドレスや添付ファイルをブロック（受信拒否）するといった対策が難しくなっている」とするだけでなく、「攻撃者は、日本人のメールアドレスの特徴や、日常的にやりとりされるメールの件名・文面について学習を続けていることが伺える」とまとめています。

　上記のようなビジネスメールは業務上、読まないわけにはいかない場面が多いのも事実。その心理を攻撃者は巧みに突いてきます。昨今のサイバー脅威の高度化を踏まえ、メールやWebサイトといったインターネットを使うネットワークと、それ以外の業務を行うネットワークを分離する方法などが求められていますが、全ての企業がすぐに導入できるわけでもありません。脆弱（ぜいじゃく）性修正パッチを適切に当てる、常にウイルス対策ソフトを最新にするといった基本的なセキュリティ対策を着実に実施し、J-CSIPなどのような情報共有の仕組みを使ってアンテナの感度を上げておきましょう。