NortonやAvastを擁するセキュリティ企業「Gen Digital」は、ユーザーの不注意を利用する新たな攻撃手法が急増しているとする最新レポートを公表。
特に注目されたのは、ユーザー自身を攻撃の実行者に仕立て上げる「偽CAPTCHA攻撃」をはじめとした詐欺攻撃の増加で、これにより詐欺件数が前年同期比で614%も増加しているという。
多くが詐欺ポップアップによる手口にだまされている
偽CAPTCHA攻撃は、正規のCAPTCHA（画像認証）を装ってユーザーを欺き、悪意あるスクリプトやソフトウェアを実行させるサイバー攻撃の手法。
攻撃者は、ユーザーがセキュリティチェックだと信じ込む状況を巧妙に作り出し、実際にはマルウェアのインストールや個人情報の収集を狙う。
具体的な攻撃例として、攻撃者が設置した詐欺ページやポップアップに、見慣れた「私はロボットではありません（I’m not a robot）」といった正規のCAPTCHAに似た画面を表示させるもので、クリックしたユーザーに手順を誘導してマルウェアが仕込まれたファイルやソフトをインストールさせるというもの。
偽CAPTCHA攻撃は、YouTube上の有名人をディープフェイク（AIを用いた深層偽造動画）と組み合わせた手口にも利用されており、世界中で少なくとも500万ドル（7億2500万円）相当の被害が報告されていると報告されている。
ランサムウェア「Magniber」と「情報スティーラー」マルウェアの攻撃展開
レポートでは、ランサムウェア「Magniber」と「情報スティーラー」マルウェアを使った活動が急増している点にも着目されている。
Magniberは、Windows 7 ユーザーを主なターゲットに使用されており、既知の脆弱性が悪用されて対象のシステムに侵入、ファイルを暗号化するというもの。
その後身代金を要求されるという点は、従来のランサムウェアと同様となる。
レポートでは、1日あたりのブロック数が通常の数十件から約8,000件に急増した期間があったとされており、前四半期比で 100%増加という結果になっているとのこと。
一方の情報スティーラー（Information Stealer）とは、感染したデバイスから個人情報や機密データを盗むことを目的としたマルウェアの一種で、同じ四半期におけるリスク比率は39%増加という結果が報告されている。
主にGitHubリポジトリやYouTubeの偽チュートリアル、偽CAPTCHAなどに利用されており、ユーザーが無意識のうちに悪意のあるスクリプトを実行する形で感染が拡大しているとされている。
盗まれる情報には、ログイン資格情報やブラウザのクッキー、暗号資産ウォレットデータなどが含まれる。
サポート詐欺被害は日本がダントツ
地域ごとの脅威動向として、日本でのサポート詐欺被害が依然として高く、詐欺リスクは世界で最も高い水準を維持していることが取り上げられている。
PCやスマートフォンを使用時、「ウイルスが感染しています。すぐに修正しないとデータが失われます」といったようなメッセージやポップアップが表示され、MicrosoftやApple、銀行など偽のサポートなど装った攻撃者に金銭や個人情報を不正に取得されるという手口が代表例となる。
背景には、日本が高齢者層を中心にテクノロジーへの依存が高まっている一方で、詐欺への警戒意識が低いことが挙げられている。
攻撃者側も言語や文化的特性を熟知し、より信憑性の高い手口を展開していることも要因となっている。
一方、イタリアとスペインでは、ブラウザ通知を悪用した詐欺が前年比で166%増加している。
これは攻撃者が特にイタリアやスペインで使用されるブラウザのプッシュ通知機能を標的にしていることが考えらえている。
表示される通知に合法的なメッセージを使いユーザーを悪意のあるサイトに誘導しアクセスさせることで被害を拡大している。
モバイルデバイスでの脅威も
モバイルデバイスにおける脅威の深化も報告されており、広告ソフトや銀行情報を狙うマルウェアが台頭。
ブラジルでは新型マルウェア「Rocinante」がオンラインバンキングのログイン情報を盗む事例が増えているとのこと
また、NFCデータを標的としたスパイウェア「NGate」がチェコで確認され、ATM詐欺のリスクが高まっているという。
基本的な対策
ランサムウェアや情報スティーラー、偽CAPTCHA攻撃、技術サポート詐欺など、攻撃者はますます巧妙な手法を駆使しており、対抗するためには予防的かつ積極的な対策が必要となる。
具体的な対策方法としては、以下のものが挙げられる。
・最新のソフトウェア更新の実施
・強固なパスワード管理と多要素認証（MFA）の導入
・信頼できるアンチウイルスソフトやマルウェア対策ソフトをインストール
・フィッシング対策と怪しいリンク・添付ファイルの警戒、バックアップの定期的な実施
・従業員や家庭内でのセキュリティ啓発と教育
【参考記事】
https://investor.gendigital.com/news/news-details/2024/Gen-Q3-Threat-Report-Millions-Fooled-by-Scam-Yourself-Attacks/default.aspx