人事報告詐欺

サイバー犯罪者は職場関連のテーマを悪用し続けています。従業員は社内部門から発信されたと思われるものは本能的に信じてしまうからです。人事レポート詐欺はこの戦術の好例です。メッセージは一見するとプロフェッショナルで日常的な内容に見えますが、実際には完全に詐欺であり、機密情報を収集するために巧妙に作成されています。これらのメールは、ビジネス関連のメールのように見えますが、実際には正当な組織、企業、またはサービスプロバイダーとは一切関係がありません。

人事アップデートを装った偽のメッセージ

詐欺メールは、受信者が人事部から最新の月次レポートにアクセスできると主張しています。メッセージによると、この「レポート」には、業績評価、活動概要、休暇概要、さらには今後の昇進リストまで含まれているとのこと。これらの詳細は戦略的に選ばれており、信憑性があり、受信者がためらうことなくクリックしてしまうような印象を与えます。

実際には、このメッセージは受信者の雇用主とは何の関係もなく、報告も存在しません。その唯一の目的は、メールのログイン情報を盗むために設計されたフィッシングポータルへユーザーを誘導することです。

偽レポートポータル

メールに埋め込まれたリンクは、Microsoft Excelドキュメントゲートウェイを模倣したフィッシングページに被害者を誘導します。実際のファイルを読み込む代わりに、このページではメールアドレスとパスワードによる本人確認を求められます。このフォームに入力された情報はすべて、サイレントモードでキャプチャされ、攻撃者へと送信されます。

ビジネス アカウントは、多くの場合、企業システム、共有ドライブ、クラウド プラットフォームへのアクセスを提供するため、これらの認証情報は詐欺師にとって非常に価値があります。

盗まれたアカウントがどのように悪用されるか

サイバー犯罪者がメールアカウントへのアクセスを取得すると、被害は急速に拡大する可能性があります。侵害された受信トレイは、複数の接続プラットフォームへのゲートウェイとして機能し、機密性の高い個人情報や企業データが漏洩する可能性があります。攻撃者は、侵害したアカウントを足掛かりとして組織内で横方向の移動を試みることがよくあり、マルウェアやランサムウェアを展開することもあります。

以下は、盗まれた電子メール認証情報に関連する最も一般的な不正使用の一部です。

• コラボレーションツール、クラウドストレージ、メッセージングサービス、金融プラットフォームなどのリンクされたアカウントへの不正アクセス
• トロイの木馬、ランサムウェア、その他のマルウェアによるビジネスネットワークの感染
• 被害者になりすまして金銭、融資、寄付を要求する
• 悪意のあるファイルやリンクを連絡先に配布する

被害者は深刻なプライバシー侵害、多大な経済的損失、サービスの中断、さらには個人情報の盗難に直面することがよくあります。

この詐欺がなぜ機能するのか

職場をテーマにしたフィッシングが成功するのは、多くの従業員が人事部からの最新情報や社内文書を受け取ることに慣れているためです。攻撃者は、日常的なデジタル習慣と、社内コミュニケーションは信頼できるという思い込みにつけ込みます。

さらに、フィッシングメールは、個人情報の収集、無関係な詐欺の宣伝、マルウェアの配信などを目的とした、より広範なスパムキャンペーンに付随することがよくあります。詐欺メッセージには、感染連鎖を引き起こすために仕込まれたリンクや添付ファイルが含まれていることがよくあります。

マルスパムがマルウェアを配信する方法

悪意のあるスパムは、有害なソフトウェアを配信する最も一般的な方法の一つです。攻撃者は、ペイロードを偽装するために様々なファイル形式を利用します。

• Microsoft Office、OneNote、PDF ファイルなどのドキュメント
• ZIPやRARなどのアーカイブ、EXEやRUNなどの実行可能ファイル
• JavaScriptなどのスクリプトや同様の実行可能な形式

ユーザーがこれらのファイルを開くと、マルウェアのインストールが開始されます。一部のファイル形式では追加の手順が必要になります。例えば、Officeファイルではマクロを有効にするように促されることがあります。また、OneNoteファイルには、クリックするとペイロードが実行される埋め込みオブジェクトが含まれていることがよくあります。

すでに資格情報を入力している場合の対処方法

フィッシングページを通じてログイン情報を提供してしまった方は、侵害されたメールに紐付けられている可能性のあるすべてのアカウントのパスワードを直ちにリセットしてください。また、影響を受けたサービスの公式サポートチームに連絡し、アカウントのセキュリティ保護と不正なアクティビティの特定を依頼することも重要です。

安全を保つ

詐欺メールは非常に説得力を持つため、予期せぬメッセージには注意を怠らないことが重要です。特に、認証情報の確認を求めたり、予期せぬ文書へのアクセスを勧めたりするような、一方的な通知を受け取った場合は、特に注意が必要です。

電子メール、ダイレクト メッセージ、SMS、その他の通信チャネル全体にわたる警戒は、人事レポート詐欺のような攻撃に対する最も効果的な防御策の 1 つです。