人をだます攻撃

• フィッシング … 本物そっくりの偽のサイトに誘い、IDやパスワードを入力させる
• ビジネスメール詐欺 … 取引先や社長になりすまして、偽の口座に送金させる
• ソーシャルエンジニアリング … 電話やのぞき見など、技術を使わずに人から情報を聞き出す

対策は、メールの中のリンクから入力しないこと、振込先の変更は登録済みの連絡先に電話して確かめることなど、手順で防ぐことです。

パスワードを狙う攻撃

• 総当たり攻撃 … 1つのIDに、あらゆる組み合わせを試す
• 辞書攻撃 … よく使われる単語を順に試す
• パスワードリスト攻撃 … 別のサイトから漏れたIDとパスワードの組を、そのまま試す

パスワードリスト攻撃は、使い回しにつけ込みます。長いパスワードにしても、同じものをほかで使っていれば防げません。サービスごとに変えることと、多要素認証が効きます。

標的型攻撃とランサムウェア

特定の組織を狙い、業務に関係がありそうなメールで添付ファイルを開かせ、中に入り込みます。ランサムウェアはデータを暗号化して使えなくし、身代金を求めます。最近は、データを盗んだうえで「公開する」とおどす手口もあります。

Webの攻撃とAIの悪用

入力をそのまま命令として実行させるSQLインジェクション、他人の画面で不正なスクリプトを動かすクロスサイトスクリプティング、大量の通信で止めるDoS攻撃があります。AIで作った自然な文面や、本人そっくりの声を使ったなりすましにも注意します。

• フィッシング・ビジネスメール詐欺・ソーシャルエンジニアリング
• 総当たり・辞書・パスワードリスト攻撃と、効く対策
• 標的型攻撃とランサムウェアの流れ
• Webの攻撃と、AIを悪用したなりすまし