Netflixを装う攻撃が勤務先まで広がる理由

Bitdefenderのリサーチャーによると、Netflixを装ったフィッシング攻撃は、想像以上に深刻な被害をもたらす危険性があります。通常、Netflixはプライベートで利用されるサービスですが、こうした個人アカウントを狙った攻撃が勤務先の組織にもリスクを及ぼす可能性があります。

Bitdefenderは次のように指摘しています。「Netflixのアカウントは単なる突破口に過ぎず、攻撃者の最終的な目的ではありません。多くのユーザーが複数のサービスでパスワードを使い回しているため、攻撃者はその隙を突いてきます。具体的には、窃取したログイン情報を使って、メールアカウントやネットバンキング、ECサイトなどの他サービスへ自動で一斉にログインを試みるクレデンシャルスタッフィングを仕掛けます。同じパスワードが別の場所でも使えれば、攻撃者はより金銭的価値や機密性の高いアカウントの管理権限を握ることになります。」

クレデンシャルスタッフィングは、ユーザーのデジタルID全体の侵害につながるおそれがある重大な脅威です。

リサーチャーは次のように説明しています。「攻撃者は自動化ツールを使い、メールアドレスとパスワードの組み合わせを、決済プラットフォーム、ECサイト、企業VPNなど、多くのサービスで一斉に試します。また、Netflixのパスワードを盗まれた結果、同じパスワードを使い回していた勤務先のインフラに攻撃者が侵入する危険もあります。こうした試行の成功率がたとえ数パーセントに過ぎないとしても、攻撃者にとっては、より機密性の高いアカウントを掌握するのに十分な成果となります。場合によっては、1件のフィッシング被害が連鎖し、デジタルID全体の侵害につながることもあります。」

Bitdefenderは、こうした攻撃の被害を避けるため、次のようにアドバイスしています。

• 「至急の手続きを迫る内容や、心当たりのない報酬や特典を謳うメールが届いた場合は、リンクなどをクリックする前に必ず一度立ち止まってください。記載されたリンクは使わず、ブラウザまたはアプリからNetflixを直接開き、そこで確認してください

• Netflixを含め、すべてのサービスで個別のパスワードを使用してください。この対策を徹底するだけで、万が一情報が漏洩した際にも、クレデンシャルスタッフィングによる二次被害を1つのアカウント内に確実に食い止めることができます

• 可能な限り、2要素認証（2FA）を有効にしてください。特にメールアカウントでの設定は必須です。メールは多くのサービスでパスワードリセットの起点となるため、メールアカウントを保護することでリスクを大きく減らせます。」

KnowBe4は、従業員一人ひとりが日々の業務において、より的確なセキュリティ判断を下せるよう支援します。現在、世界で7万社を超える組織がKnowBe4のHRM+プラットフォームを信頼し、セキュリティ文化の醸成とヒューマンリスクの低減を実現しています。

詳細については、Bitdefenderの記事をご参照ください。