米国保健福祉省が新しく発表したアラート情報では、ソーシャルエンジニアリングを利用した新たなサイバー攻撃が発生しており、オンライン詐欺のために認証情報を詐取していると警告しています。
これらの攻撃の実行方法から、サイバー攻撃者が明確な意図を持って行動しており、その技術力が高度化していることがわかります。
米保健福祉省の医療保険サイバーセキュリティ調整センター（HC3）の最新のアラートでは、財務や会計を担当する従業員や、特に入出金に携わる管理者権限のある従業員のユーザーアカウントへの不正アクセスを狙ったサイバー攻撃者について注意するように呼びかけています。
このサイバー攻撃者は、財務や会計担当の従業員を騙り、ITヘルプデスクに電話をかけて、「自分の携帯電話が壊れてしまって、多要素認証のトークンを受け取れない、新たに別の携帯電話を登録して欲しい。」と、依頼してそのアカウントを乗っ取ろうとします。依頼をするときはあたかも本人であるかのように、その従業員の社会保険番号（SSN）の下4桁、企業のID番号、その他の個人を特定する情報を提供して、ITヘルプデスクを信頼させます。
おそらく、標的となる従業員の個人情報は、データ侵害によって詐取されてしまっているのでしょう。漏洩した個人情報は複数の異なるサイバー攻撃者によって売買されることが多く、今回のことは、そうしたことを裏付けていると言えます。
最終的には、サイバー攻撃者は乗っ取った財務や会計担当者のアカウントで、自分の口座に振込んでお金を騙し取ります。
米国保健福祉省によるアラートでは、多要素認証（MFA）の強化、条件付きアクセスの導入、さらには企業ネットワーク内以外では認証情報への外部アクセスをブロックすることを推奨しています。
ITヘルプデスクの担当者は、このような詐欺に気がつき、認証情報に関する電話を潜在的な脅威として認識できるように、セキュリティ意識向上トレーニングを受講する必要があります。さらに、認証情報が使用される場合、財務データやアプリケーションにアクセスする担当者に対して、追加のコントロールやプロセスを導入するべきです。
KnowBe4のセキュリティ意識向上トレーニングは、従業員のセキュリティ意識を高め、日々求められるセキュリティ上の判断に従業員一人ひとりが的確な意志決定を下すことを可能にします。世界の6万5千社を超える企業や団体がKnowBe4を採用して、防御の最終ラインとして「人」による防御壁を構築して、セキュリティカルチャーの形成につなげています。
原典：Stu Sjouwerman著 2024年4月12日発信 https://blog.knowbe4.com/hackers-targeting-it-helpdesks-healthcare-organizations
