ホエーリング｜サイバーセキュリティ.com

  1. ホーム /
  2. セキュリティ用語集 /
  3. ホエーリング
             

ホエーリング

エーリング（Whaling）とは、サイバー攻撃の一種で、企業の役員や幹部といった高い権限を持つ重要な人物（通称「ビッグフィッシュ」）をターゲットにするフィッシング詐欺です。一般的なフィッシング詐欺が不特定多数にメールを送りつけるのに対して、ホエーリングは特定の人物を狙い、徹底的に準備された攻撃が仕掛けられます。ホエーリング攻撃では、巧妙に作られたメールやメッセージを通じてターゲットをだまし、機密情報の引き出しや不正な金銭取引、ネットワークへの侵入などを目的としています。

ホエーリングは、CEOやCFOといった企業の意思決定層や財務管理者など、企業資産や機密情報に直接アクセスできる人物に対して行われるため、成功すれば企業に与える被害は甚大です。ホエーリング攻撃を防ぐためには、経営層や管理職も含めたセキュリティ意識の向上や、不審なメールやリンクへの警戒が重要です。

ホエーリングの特徴

標的型攻撃

ホエーリングは特定の人物を狙った標的型攻撃（ターゲット型攻撃）であり、メール内容が一般的なフィッシング詐欺よりも精巧です。攻撃者は、ターゲットの経歴や役職、過去の発言、会社のイベントなどを調べ上げ、まるで知人からのメールのように思わせる手法を用います。

メール内容の巧妙さ

ホエーリングのメールは、公式文書のようなフォーマットで送られることが多く、ターゲットが疑わないように巧妙に作られています。例えば、企業の法務部からの重要な通知や、財務部からの承認依頼、取引先からの契約更新に関する連絡を装うなど、ターゲットが判断を誤るような内容になっています。

高度な社会工学の利用

ホエーリング攻撃には、社会工学的手法が多用されます。攻撃者はターゲットが関心を持ちそうなトピックを選び、受け取ったターゲットが即座に反応するように仕向けます。例えば、経営層の間で話題になっているトピックや、実際の社内プロジェクトに関連する内容を盛り込むこともあります。

ホエーリングの手口

ホエーリング攻撃では、ターゲットに偽装されたメールを送信し、偽のリンクや添付ファイルをクリックさせて情報を盗み出す方法が一般的です。主な手口として以下のものがあります。

1. 偽装メールの送信

攻撃者は、経営層や管理職になりすまし、内部の従業員や他の役員に対して、機密情報の開示や送金指示を行います。例えば、偽装メールに「取引先への緊急送金が必要だ」と書かれた指示が含まれており、ターゲットが指示に従って送金を実行してしまう場合があります。

2. マルウェアの添付ファイル

ホエーリング攻撃には、マルウェアが仕込まれた添付ファイルを含むケースもあります。ターゲットが添付ファイルを開くと、マルウェアがシステムにインストールされ、攻撃者はターゲットのPCを通じてネットワークへのアクセス権を得たり、キーストロークを記録してパスワードなどの機密情報を収集したりします。

3. フィッシングサイトへの誘導

メール内にフィッシングサイトへのリンクが含まれる場合もあります。このリンクをクリックしたターゲットは、社内のシステムやクラウドサービスのログインページに似せて作られた偽のログインページに誘導され、ログイン情報が盗まれます。こうして攻撃者は、ターゲットのアカウントを不正に利用できるようになります。

ホエーリングがもたらすリスク

機密情報の漏洩

ホエーリング攻撃によって、経営層のアカウント情報が盗まれると、企業の機密情報が外部に流出するリスクが高まります。攻撃者は盗み出したアカウントを利用して、社内ネットワークにアクセスしたり、機密文書を入手したりすることが可能になります。

金銭的な損失

ホエーリングは不正な送金指示を含むケースが多いため、企業が大規模な金銭的損失を被る可能性があります。経営層が送金指示を誤認して従えば、攻撃者の指定した口座に資金が送られ、取り戻せない状況に陥ることもあります。

ブランドや信頼の失墜

ホエーリングによる情報漏洩や不正送金が外部に明るみになると、企業の信頼やブランドイメージに深刻なダメージを与えます。特に、取引先や顧客の機密情報が漏洩した場合、企業に対する信用が低下し、長期的なビジネスにも悪影響を及ぼします。

ホエーリングの防止策

ホエーリングを防ぐためには、従業員全体だけでなく経営層や管理職も含めたセキュリティ意識の向上が重要です。以下の対策が有効です。

1. セキュリティ意識向上トレーニング

経営層も含めた従業員全体に対し、ホエーリングやフィッシング攻撃に関する教育を定期的に行います。特に、メールの不審な点や偽装されたリンク・添付ファイルに対する警戒心を持つよう指導します。

2. 送金プロセスの多段階承認

送金や機密情報の送付には、多段階承認のプロセスを導入することで、1人の役職者の指示だけで実行されるリスクを減らします。たとえば、複数の役職者による確認が必要なプロセスを導入し、ホエーリングの被害を防止します。

3. メール認証技術の活用

メールの送信元が信頼できるものであるかどうかを確認するために、SPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）、DMARC（Domain-based Message Authentication, Reporting, and Conformance）といったメール認証技術を導入します。これにより、メールのなりすましを検出しやすくなります。

4. 疑わしいメールの検出とフィルタリング

セキュリティソフトウェアやメールフィルタリングツールを活用し、ホエーリング攻撃に使用されやすいメールを検出するシステムを導入します。不審な添付ファイルやリンクをブロックすることで、被害を未然に防ぎます。

まとめ

ホエーリングは、経営層や管理職をターゲットとした高度なフィッシング詐欺の一種であり、企業に甚大な損害をもたらすリスクがあります。経営層が標的にされることで、機密情報の漏洩や不正送金が行われ、企業の信頼性や財務基盤が揺るがされる可能性があるため、特別な注意が必要です。ホエーリング攻撃を防ぐためには、メールやメッセージのなりすましに対する警戒や、企業全体でのセキュリティ意識の向上が欠かせません。また、複数の承認を必要とするプロセスやセキュリティツールの活用なども、ホエーリング対策として効果的です。

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）


SNSでもご購読できます。