フィッシング攻撃に関する最新の分析によると、サイバー攻撃者はセキュリティ製品の監視を逃れ、目的を達成するために、一つ工程を加え、遠回りして攻撃しています。
フィッシング攻撃は、非常に簡単に行うことができます。企業ブランドを偽装したメールにリンクを貼り、そのリンクをクリックすると、偽のWebページが表示されます。ここで、標的となったユーザーは認証情報や個人情報、クレジットカード情報を入力するよう求められます。
しかし、現在のセキュリティ製品の多くは、このようななりすましを即座に検出します。そのため、サイバー攻撃者が巧妙なフィッシング攻撃を実行しようとするのであれば、検出されない方法を見つける必要があります。サイバー攻撃者は、場合によっては、攻撃には不要な手順を追加する必要もあります。
イスラエルのセキュリティベンダーであるPerception Pointの最新の分析によると、サイバー攻撃者がフィッシング攻撃の中間ステップとしてMicrosoft Office Formsを利用していることが明らかになりました。
このフィッシングメールでは、よく知られたブランド（以下ではMicrosoft 365）になりすましており、メール内のリンクをクリックするとOfficeフォームに誘導されます。
このフォームは、正規のWebサービスでホストされているため、攻撃が検出されにくくなります。このURLをクリックすると、認証情報の詐取を目的とした偽のログインページにリダイレクトされます。
基本的に、この詐欺の目的は認証情報の詐取ですが、その具体的な手口に注意する必要があります。サイバー攻撃者は、攻撃の追加ステップとして正規のツールやWebサイトを利用することで、攻撃を検知されにくくしていますが、継続的にセキュリティ意識向上トレーニングを受講しているユーザーであれは、これらの詐欺を見抜くことができます。
KnowBe4のセキュリティ意識向上トレーニングは、従業員のセキュリティ意識を高め、日々求められるセキュリティ上の判断に従業員一人ひとりが的確な意志決定を下すことを可能にします。世界の7万社を超える企業や団体がKnowBe4を採用して、防御の最終ラインとして「人」による防御壁を構築して、セキュリティカルチャーの形成につなげています。
原典：Stu Sjouwerman著 2024年9月6日発信 https://blog.knowbe4.com/phishing-attack-takes-a-two-step-approach-to-leverage-legitimate-sites-and-evade-detection