プリテキスティング攻撃とは何ですか? どうすれば身を守ることができますか?

電話を持っていて電話を受けることができる人は誰でも、なりすまし攻撃を受けやすくなります。なりすまし攻撃者は、パスワードにアクセスできる会社の技術部門や別のチームのふりをするなど、偽りのふりをして電話をかけ、操作して情報を取得することができます。これらの攻撃者はこのデータを販売または悪用する可能性があるため、情報を積極的に保護する必要があります。

では、予防とは何ですか？どうすれば身を守ることができますか？

プリテキスティングとは?

ソーシャル エンジニアリングの一形態であるプリテキスティングは、ハッカーが欺瞞的な手段を使用して、システム、ネットワーク、または任意の情報にアクセスしようとするときに発生します。攻撃者は、IT 担当者、人事マネージャー、または政府機関などの経験豊富な人物になりすまして、口実と呼ばれる誤ったシナリオを思いつきます。この攻撃は、オンラインおよび個人で発生する可能性があります。

プリテキスティングは、2000 年代初頭に英国で始まりました。有名人に関する興味深いスクープを探していたジャーナリストが極端な手段を使って有名人をスパイしたのが始まりです。ニュース ブランド間の競争は熾烈で、ジャーナリストは個人情報を取得する新しい方法を発明しました。

まず、ターゲットの有名人のボイスメールを詮索するのと同じくらい簡単でした。ボイスメールにはデフォルトの PIN が付属しており、多くのユーザーがわざわざ変更することはなく、ジャーナリストはこれを悪用しました。デフォルトの PIN が変更されていた場合、ターゲットに電話をかけ、電話会社の技術者になりすましたものまでありました。彼らはボイスメールの PIN を取得し、そこに隠されている情報にアクセスできます。

一般的に、なりすましのシナリオは、被害者になる側からの緊急性や同情を必要とするように感じられます。攻撃者は、電子メール、電話、またはテキスト メッセージを使用して、標的と連絡を取る可能性があります。

プリテキスティング攻撃の要素

なりすましのシナリオには、2 つの主な要素があります。詐欺師が演じる「キャラクター」と、ターゲットが求めている情報に対する権利がキャラクターにあると信じ込ませるための「もっともらしい状況」です。

トランザクションを処理しようとして、処理が完了しないと想像してください。注文したピザが届かず、オンライン ストアは閉鎖されています。残念！しかし、それだけではありません。数分後、不可解なエラーにより、口座から引き落とされていることがわかりました。

その後すぐに、攻撃者は銀行のカスタマー ケア エージェントになりすまして電話をかけてきます。あなたは電話を待っているので、このもっともらしい状況に陥り、クレジット カード情報を教えてしまいます。

プリテキスティングはどのように機能しますか?

プリテキスティングは、本人確認の弱点を利用します。音声取引中、物理的な識別はほぼ不可能であるため、機関は顧客を識別するために他の方法に頼っています。

これらの方法には、生年月日、近親者、子孫の数、連絡先住所、母親の旧姓、または口座番号の確認を要求することが含まれます。この情報のほとんどは、ターゲットのソーシャル メディア アカウントからオンラインで取得できます。偽善者は、この情報を使用して、自分の性格の信憑性を「証明」します。

詐欺師はあなたの個人情報を使用して、彼らが使用できるより機密性の高い情報をあなたに明らかにさせます. この個人情報を取得するには、慎重な調査が必要です。取得したデータが具体的であるほど、より価値のある情報を放棄せざるを得なくなるからです。

詐欺師は、ソーシャル メディア以外にも直接的な情報源を持っています。彼らは、なりすましている組織の電話番号または電子メールのドメイン名を偽装して、ターゲットに販売されているもっともらしい状況にさらに信頼性を加えることができます.

3 つの注目すべきプリテキスティング テクニック

詐欺師やハッカーが機密情報にアクセスするために使用するさまざまな偽装手法があります。

1. ビッシングとスミッシング

これらの手法は非常に似ています。ビッシング攻撃では、音声通話を使用して被害者を説得し、詐欺師が必要とする情報を提供する必要があります。一方、スミッシング詐欺では、SMS やテキスト メッセージが使用されます。

ターゲットは、一見重要な人員からの直接の電話よりもテキスト メッセージを無視する可能性が高いため、ビッシングは成功する可能性が高くなります。

2.餌付け

おとりには、情報を収集するために大きな報酬を使用することが含まれます。また、信頼できる情報源を偽ることも含まれる可能性があります。

詐欺師は、あなたが遠い親戚からの遺産を持っていると主張し、取引を処理するためにあなたの財務情報が必要であると主張する弁護士のふりをする可能性があります. 標的となった組織の高官も被害者になる可能性があります。

もう 1 つの一般的な手口は、会社のロゴと緊急のプロジェクトに取り組むようにというメッセージが入ったフラッシュ ドライブが入った封筒を投下することです。フラッシュ ドライブには、ハッカーが会社のサーバーにアクセスするために使用するマルウェアが含まれています。

3. スケアウェア

この方法では、ハッカーは恐怖を戦術として使用します。注目すべき例は、安全でないサイトのポップアップで、デバイスにウイルスが存在することを通知し、実際にはマルウェアであるウイルス対策プログラムをダウンロードするように求めます. スケアウェアは、電子メールやテキスト メッセージ内のリンクを使用して配布することもできます。

プリテキスティング攻撃から身を守る方法

プリテキスティング攻撃は非常に蔓延しているため、完全に阻止する方法はほとんどありません。ただし、それらを大幅に抑制するための措置を講じることはできます。

1 つのステップはメール分析です。メールのドメイン名を見ると、なりすましか本物かを判断できます。ただし、プリテキスティング攻撃は電子メール ドメインを偽装できるため、元のドメインとほとんど同じに見えるため、これらのプリテックスを特定することは非常に困難です。

しかし、複雑な AI 技術の進歩により、メール分析はより利用しやすくなりました。AI は、フィッシング パターンを特定し、なりすましの兆候を探すことができるようになりました。トラフィックの異常や偽装された電子メールの表示名、およびプリテキスティング攻撃でよく見られるフレーズやテキストを識別できます。

もちろん、ユーザー教育は不可欠です。銀行のパスワード、クレジット カードの暗証番号、またはシリアル番号を尋ねる必要はありません。これらのいずれかに対する要求は、直ちに適切な当局に報告する必要があります。さらに、家族、友人、および従業員に、不明なリンクをクリックしないように注意し、安全でない Web サイトにアクセスしないように注意するだけで、会社のサーバーへのマルウェアの侵入を十分に防ぐことができます。

偽装詐欺に引っかからないでください

なりすまし操作を見つけるのは簡単ではないかもしれませんが、犠牲にならないようにするための簡単な手順があります。安全でない Web サイトのリンクをクリックしないでください。また、ログインの詳細を誰にも明かさないでください。銀行のオンライン プラットフォームには、検証済みのカスタマー サービス ケア ラインがあります。カスタマー ケア担当者から連絡があった場合は、番号が公式ラインと一致していることを確認してください。