メールに関するサイバー攻撃って本当に多いですよね。添付ファイル実行によるマルウェアの感染やスパムメールなどの悪意を攻撃。そして、ちょっとしたミスから発生してしまうメールの誤送信による情報の漏洩など、Web業界の成長にともない攻撃の手法も変化してきました。

先日、トレンドマイクロセキュリティブログにこんなニュースが投稿されていました。

【参考】

IQYファイルを利用するマルウェアスパム、日本のみを標的に 50 万通拡散https://blog.trendmicro.co.jp/archives/19506

IQYファイルって聞きなれないファイルだなと思い調べてみました。どうやらExcelに関連付けされたファイルのようです。メールに添付されたIQYファイルをクリックすると、Excelが立ち上がり「Microsoft Excelのセキュリティに関する通知」というウィンドウが表示されます。そのウィンドウには「有効にする」と「無効にする」の2つのボタンが用意されており、「有効にする」をクリックするとマルウェアに感染する、という仕組みらしいです。

このIQYファイルを有効にすると、感染対象のPCが日本国内のIPアドレスの場合に限り、最終的なマルウェアである「BEBLOH」と「URSNIF」をダウンロードして実行します。この2つはオンラインバンク詐欺ツールとのことです。

この添付ファイルを含んだスパムメールが50万件も拡散したというのが今回の事件です。具体的にどの程度マルウェアに感染したのかは公開されていませんが、業務で使うパソコンにはたいていExcelがインストールされているので、このマルウェアに感染してしまった人はそれなりに多そうですね。スパムメールなんですが、標的は完全に日本国内に絞っているというのが、今回の攻撃の特徴の一つです。

止まる事のない標的型メール攻撃の現状

IQYファイルを添付したスパムメールでは、ソーシャルエンジニアリングという攻撃手法が取られていました。今回はスパムメールをばらまいたケースでしたが、ソーシャルエンジニアリングを利用したメールの攻撃として無視できないのが標的型メール攻撃です。

標的型メール攻撃とは特定のターゲットに狙いを付けて、取引先や知人のふりをして、マルウェアを送信した

り、悪意のあるサイトへと誘導したりするサイバー攻撃です。何年も前から世界的に大きな被害をもたらしている標的型メール攻撃ですが、まだまだ治まる気配はありません。

標的型メール攻撃の防御法として「怪しいメールを開かない」というものがありますが、しかしこれって一体どれくらい有効な対策何だろうって考えてしまいます。標的型メール攻撃のターゲットになる組織は、必ずしも大規模な組織ではないので、

「なんかよく知らない人からメールが来たけど、うちみたいな会社は大丈夫だろう」

って安易にメールを開いて、添付されているWordやExcelのファイルを実行してしまう人って相当いるはずです。

攻撃者は攻撃者で、ターゲットに対する攻撃が成功するまで執拗に攻撃を続ける可能性があります。そもそも標的型メール攻撃とはいたずらや遊びではなく、金銭的な利益を得ることや、ターゲットの組織の社会的信頼性を低下させるなどの明確な目的があるからです。

さらに標的型メール攻撃の手法はどんどん巧妙化してます。添付ファイルの実行を狙うだけでなく、不正なURLにアクセスさせてフィッシングを狙ったり、Webサイトにアクセスするだけでマルウェアに感染させたりする、ドライブバイダウンロードなど、複数の攻撃を組み合わせたり、未知の手法による攻撃も考えられます。こうなってくると、万全の対策というものは存在しません。

メールの代わりになるものを使うという選択肢

ここから先は筆者の意見ですが、メールを使わずにコミュニケーションを取る方法を真剣に考えた方がよいと思うのです。メールアドレスさえわかれば、どんな悪人でも一方的にメッセージを送信でき、逆にいったん送信してしまったメッセージをキャンセルしたり、編集したりできない、こんなレガシーなコミュニケーションツールに頼る必要が本当にあるのでしょうか？

メッセージツールとしてはSkypeやChatwork、そしてIT業界では広く普及しているSlackというものがあります。グループウェアとしてはサイボウズのようなものもありますし、プロジェクト管理ツールのBacklogや、バージョン管理システムのGithubでも簡単にメッセージを送る機能もあります。

このようなツールを使えば、少なくともメールよりは安全で便利にコミュニケーションが取ることができます。決まった取引先や知人からとのコミュニケーションとしていつまでもメールを使い続けるというのは、あまり賢くないかなぁと思ってしまうのです。

ホームページからのお問い合わせや、初めての相手からのメッセージとして、メールを使う必要性はこれからも残ってくるはずです。しかし、取引を続けることになったら、できるだけ早い段階でメール以外の方法で連絡する方法を検討した方が、今後もお互いにお仕事を続けていく上で、安全かつスームズに取引できるでしょう。

メールという古いツールにいつまでもこだわるのではなく、安心で便利に使えるものがあるのなら、セキュリティ対策ではなく、そういったものに対して投資することも選択肢の一つとして検討してはいかがでしょうか。

（Photo by Franck V. on Unsplash）