パッと見ではフィッシングか判別できない短縮URLはいまだに悪用されている

セキュリティリサーチャーがフィッシング攻撃の現状を分析した結果、信頼度の高い短縮URLサービスを使用するケースが増加していることが明らかになりました。   

フィッシング攻撃者は、攻撃を成功させるためにできるだけ早く相手を信用させなければなりません。これまでは有名な企業になりすましてメールを送信する手法が主流でしたが、セキュリティ対策を突破するために、サイバー攻撃者は単にそっくりなドメインを使用するだけでは不十分になってきました。 

米国のITセキュリティ企業であるBarracudaのセキュリティリサーチャーは、フィッシング攻撃者はメール内の悪意のあるリンクに難読化レイヤーを追加するために、合法的な短縮URLサービスを使用していることを報告しています。

実際にリンクをたどって最終的なアクセス先を分析するセキュリティソリューションもありますが、多くのソリューションは単にリンク自体を調べるだけです。例えば、短縮URLサービスであるbit.lyが作成した「bit[dot]ly[slash]（偽のURL）」という短縮リンクを使用すると、リンクの文字列だけを調べるソリューションでは、そのリンクを正当とみなします。

同社のリサーチャーは、サイバー攻撃者がこれらの短縮URLサービスの認証情報を侵害してアクセス権を詐取し、フィッシング攻撃の一環として利用していると考えています。 

これに対抗する方法は2つしかありません。   

1. リンクを追跡し、最終的なWebサイトをスキャンして悪意のあるコンテンツがないかを確認するセキュリティソフトウェアソリューションを導入する。 
2. 新しいスタイルの先進的なセキュリティ意識向上トレーニングを継続的に行い、従業員に対して、メールや添付ファイルを開いたり、Webリンクをクリックしたりする前に、悪意のあるコンテンツが含まれていないか疑い、操作する前にコンテンツを精査するように指導する。   

サイバー攻撃者は今後も新たな手口を進化させる可能性があります。したがってこれらの対策を継続して実施する必要があります。 

KnowBe4のセキュリティ意識向上トレーニングは、従業員のセキュリティ意識を高め、日々求められるセキュリティ上の判断に従業員一人ひとりが的確な意志決定を下すことを可能にします。世界の7万社を超える企業や団体がKnowBe4を採用して、防御の最終ラインとして「人」による防御壁を構築して、セキュリティカルチャーの形成につなげています。 

原典：Stu Sjouwerman著 2024年8月2日発信 https://blog.knowbe4.com/phishing-attacks-continue-to-leverage-url-shorteners-to-obfuscate-malicious-links