スプーフィング攻撃とは

スプーフィングの定義

スプーフィングは、サイバー犯罪者が既知の、または信頼できるソースになりすますという手法です。スプーフィングには、Eメールスプーフィング、IPスプーフィング、DNSスプーフィング、GPSスプーフィング、Webサイトスプーフィング、スプーフィング通話など、さまざまな形態があります。

信頼できるソースになりすますことで、攻撃者はターゲットに近づき、そのシステムやデバイスにアクセスします。最終的な目的は、情報を盗むこと、金銭を要求すること、マルウェアやその他の有害なソフトウェアをデバイスにインストールすることです。

スプーフィングの仕組み

スプーフィングの手法は、攻撃の種類によって異なります。たとえば、Eメールスプーフィングでは、攻撃者はセキュリティで保護されていないメールサーバーをハッキングして、自分の身元を隠します。MitM攻撃では、攻撃者はWi-Fiアクセスポイントを作成して、Webアクティビティを傍受し、個人情報を収集します。また、Eメールアドレスの「From」フィールドを変更するなど、比較的単純または技術的ではないスプーフィング手法もあります。

攻撃者がEメールアドレスやWebサイトなどの複数の連絡先でなりすましを行うことはかなり一般的で、通信を開始して実際の攻撃を実行します。たとえば、サイバー犯罪者は、潜在的な被害者を引き込むためにEメールアドレスをスプーフィングし、なりすましのWebサイトを使用してユーザーのログイン認証情報やその他の情報を取得する可能性があります。さまざまな種類のスプーフィング攻撃をよく知っておくことは、スプーフィングの仕組みを理解する上で重要です。

スプーフィング攻撃の種類

スプーフィング攻撃には、比較的単純なものから高度なものまで、さまざまな形態があります。スプーフィング攻撃の一般的な種類には、次のものがあります。

Eメールスプーフィング

スプーフィング攻撃の最も一般的なタイプの1つは、Eメールスプーフィングです。攻撃者は、既知の、なじみのある、またはもっともらしい連絡先であると思わせるため、信頼できる連絡先と一致するように「From」フィールドを変更するか、既知の連絡先の名前とEメールアドレスを模倣します。たとえば、スプーフィングされたEメールアドレスでは、アルファベットの「O」の代わりにゼロ（0）が使用されたり、小文字のLを大文字のIに置き換えたりされていることがあります。これは、ホモグラフ攻撃またはビジュアルスプーフィングと呼ばれます。

ほとんどのEメールスプーフィング攻撃では、メッセージに悪意のあるWebサイトへのリンクや感染した添付ファイルが含まれています。攻撃者が、ソーシャルエンジニアリングの手法を使用して、受信者が個人データやその他の機密情報を漏らすようにさせることもあります。

発信者番号のスプーフィング

Eメールのスプーフィングと同様に、発信者IDのスプーフィングでは、攻撃者の本当の電話番号を受信者になじみのある番号で偽装します。受信者が電話に出た場合、攻撃者は通常、カスタマーサポートの担当者を装って、次のような個人情報を収集します。

• 社会保障番号
• 生年月日
• 銀行口座の詳細
• パスワード

一部の高度な電話スプーフィング攻撃では、通話を国際または長距離のキャリアに再ルーティングし、被害者に多額の請求を払わせることがあります。

Webサイトまたはドメインのスプーフィング

ドメインスプーフィングとは、攻撃者が既存のサイトを模倣したWebサイトを作成することで、多くの場合、ドメイン名をわずかに変更します。これらの攻撃の目的は、ユーザーに自分のアカウントへログインしようとさせ、アカウントの認証情報やその他の個人情報を記録することです。その後、攻撃者は、信頼できるWebサイトで認証情報を使用したり、情報を販売したりします。Webサイトのスプーフィング攻撃は通常、Eメールのスプーフィングから始まります。攻撃者は最初に架空のEメールアカウントを使用して連絡を取り、スプーフィングWebサイトに誘導します。

IPスプーフィング

攻撃者は、自分の身元を隠したり、別のユーザーになりすましたりするために、IPアドレスを変更することがあります。この手法は、高度な攻撃者がDoS攻撃において広く使用しています。この手法では、攻撃者はIPアドレスを変更した上で被害者のサイトにトラフィックを殺到させ、本物のユーザーのアクセスを制限します。DoS攻撃の詳細については、こちらを参照してください。

アドレス解決プロトコル（ARP）スプーフィング

アドレス解決プロトコル（ARP）は、データを送信するために、IPアドレスをメディアアクセス制御（MAC）アドレスと照合するプロセスです。ARPスプーフィング攻撃では、攻撃者は自分のMACを正当なネットワークIPアドレスにリンクして、そのIPアドレスの所有者に送られたデータを受信できるようにします。ARPスプーフィングは、データを盗んだり改変したりするために一般的に使用されています。一方で、DoS攻撃や中間者（MitM）攻撃、またはセッションハイジャックにも使用されます。

GPSスプーフィング

GPSスプーフィングとは、デバイスのGPSを変更して、ユーザーの実際の場所とは異なる場所に登録する行為です。この手法は主にポケモンGOなどのオンラインゲームのプレーヤーによって使用されますが、もっと悪意のあるものにもなり得ます。たとえば、GPSスプーフィングを使用すれば、あらゆる種類の移動体のナビゲーションシステムをリダイレクトできます。これには乗用車、民間航空機、海軍艦艇、公共バスやこれらに類するものすべてが含まれます。

中間者（MitM）攻撃

中間者（MITM）攻撃は、第三者がネットワークユーザーとWebアプリケーション間の対話に入り込む、サイバー攻撃の一種です。MITM攻撃の目的は、個人データ、パスワード、銀行の詳細情報などの情報を密かに収集すること、または一方の当事者になりすまして追加情報を要求することや、ログイン認証情報の変更、トランザクションの完了、資金移動の開始などのアクションを促すことです。このタイプの攻撃には多くの場合、アクティビティをトリガーしてデータの転送を実行するために、EメールスプーフィングやWebサイトスプーフィング、またはその両方が含まれます。

フェイシャルスプーフィング

新しいスプーフィング技術の1つは、顔認識に関連したものです。現在、多くの人がこのようなテクノロジーを使用してスマートフォンやアプリのロックを解除しているため、サイバー犯罪者は潜在的な脆弱性を悪用する方法を模索しています。たとえば、研究者は、ソーシャルメディアで利用可能な写真から構築された3Dの顔モデルを使用し、FaceIDを介してユーザーのデバイスをロック解除できることを実証しました。このテクノロジーのさらなる影響には、有名人、政治家、ビジネスリーダーなどの著名な個人の恥ずかしい、または犯罪に関するビデオ映像を偽造して、金銭を強要することが含まれます。

スプーフィングを検知する方法

多くの場合、常に注意を払っていれば、スプーフィング攻撃の検知と防止は比較的簡単です。スプーフィング攻撃を識別するためにユーザーが参考にできる質問の一覧を以下に示します。

• この要求は相手から要請されたものか。たとえば、こちらから要求したわけではないのにサイトからパスワードリセットのEメールを受信した場合、それはスプーフィングの試みである可能性があります。
• メッセージは機密情報を要求しているか。評判の良い企業や政府機関が、パスワードや社会保障番号などの機密情報の詳細を、Eメールや電話で伝えるように人々に求めることは決してありません。
• 組織とは別のドメインが使用されているか。リンクを含むメッセージを受信したら、ハイパーリンクテキストにカーソルを合わせて、リンク先を確認してください。銀行、医師、学校、またはその他の正当なサービスプロバイダーが、現在のドメインと一致しないURLを介して、アクティビティや通信をルーティングしようとすることは決してありません。
• WebサイトまたはリンクはHTTPSアドレスを指しているか。安全なサイトはほぼ必ず、データ転送時にHTTPの暗号化バージョンであるHTTPSを使用します。
• メッセージにこちらから求めたものではない添付ファイルが含まれているか。正当な企業なら、ユーザーを公式のWebサイトに誘導して、ダウンロードするように求めます。こちらから要求したものではない添付ファイルは、家族や同僚など、信頼できるソースやなじみのあるソースからでも、ダウンロードしてはなりません。
• メッセージはパーソナライズされていて、プロフェッショナルなものか。評判の良いサービスプロバイダーは、パーソナライズされたプロフェッショナルな方法で、顧客と対話します。Eメールやその他のメッセージを、「お客様各位」や「ご担当者様」などの一般的な挨拶で始めることは、まずありません。
• 通信文に明らかな文法やスペルの誤りが含まれているか。スプーフィングの試みを見つける最も簡単な方法の1つは、文法、スペル、デザイン、またはブランディングの誤りです。これは、注意深いユーザーを排除し、騙されやすいターゲットを罠にかけるために使用される、ハッカーの側の意図的な手法です。

スプーフィング攻撃から身を守る方法

一般のユーザーにとって、スプーフィングから身を守る最善の方法は、そのような攻撃の兆候に注意していることです。上で説明したように、以下の事柄が含まれます。

• 送りつけられたリンクをクリックしない。また、心当たりのない添付ファイルをダウンロードしない。
• Eメールやテキストメッセージのリンクではなく、新しいブラウザータブまたは公式アプリからアカウントにログインする。
• HTTPSで始まるURLにしかアクセスしない。
• 個人情報を伝えない。識別番号、口座番号、パスワードなどを電話やEメールで伝えない。
• カスタマーサービス担当者から電話やメールで連絡を受けたら、Google検索を実行して、番号や住所が詐欺に関連していないかどうかを判断する。
• パスワードマネージャーを使用して、保存されたパスワードがなりすましサイトには入力されず、認識されたサイトだけに自動的に入力されようにする。
• 迷惑メールフィルターを使用して、スプーフィングEメールのほとんどが受信トレイに入らないようにする。
• サイバーセキュリティソフトウェアに投資する。多くの脅威を検出し、それらがデバイスに感染することを阻止することができる。
• 可能な限り相互認証を有効にする。攻撃者によるエクスプロイトをさらに困難にできる。

脅威の状況は進展し、グローバルな事業運営は複雑になっているため、組織は最新のデジタルテクノロジーを活用して、オンライン攻撃者の一歩先を行く必要があります。