英国の金融および会計関係者を主にターゲットにした JavaScript ベースのフィッシング キャンペーンが Mimecast によって発見されました。
セキュリティ会社がブログで詳細を公開したこの攻撃は、「ウェブサーバーで一般的に使用されるSHTML添付ファイルを利用した点で独特だった」という。
標的がフィッシングメールを開くと、埋め込まれた JavaScript によって直ちに悪質なサイトに誘導され、機密性の高いログイン認証情報を入力するよう求められます。
マイムキャストのシニアエンジニアリングマネージャー、トマシュ・コイム氏は次のように述べています。「一見無害に見えるこの添付ファイルは、何も知らないユーザーを悪意のあるサイトにリダイレクトしますが、特に高度な手法ではないかもしれません。しかし、企業にとって大きな教訓となります。シンプルなものでも効果はあります。これは、システムのセキュリティ維持に全力を尽くしている組織にとって、大きな課題です。」
Mimecast が捕捉した標的型攻撃メール (クリックして拡大)
英国の金融・会計事務所が今回の攻撃の最大の標的となっており、これまでに検知されたメールの55%が英国の金融機関と会計事務所に送られている。南アフリカでも同業種が標的となっており、フィッシング攻撃の11%が同業種に送られている。メールの約3分の1はオーストラリアの標的、特に高等教育機関に送られている。
電子メールセキュリティソフトウェアなどを製造しているマイムキャストは、攻撃が10万人の加入者に到達するのを阻止したと述べ、いつもの薄っぺらなセールストークの中で、かなり良いアドバイスを提供した。
悪意のあるメールが受信トレイに届いた瞬間に見分けられるよう、全従業員に教育を実施しましょう。これは年に一度のチェックリスト形式のテストではなく、定期的かつ積極的な参加を促す必要があります。フィッシングはすぐになくなるものではありません。従業員がこれらの脅威に対する最後の砦として機能できるようにする必要があります。疑わしい場合は、無視、削除、報告という基本ルールに従ってください。
脅威インテリジェンス、セキュリティ、およびウイルス対策の各企業が、ますます高度化する（そして高価な）「エンドポイント ソリューション」、ファイアウォールなどを構築する方向に進んでいるため、最も単純な攻撃ベクトルがますます成功を収めていることを忘れてはなりません。
英国の諜報機関GCHQの対外的な分派である国家サイバーセキュリティセンターは、年次報告書の中で、14万件のフィッシング攻撃を阻止し、19万件の詐欺ウェブサイトを削除したと警告した。しかし、フィッシング攻撃の標的上位10社のうち、かなりの数が政府機関または準政府機関（歳入関税庁、BBC、学生ローン会社など）であり、評判が損なわれるリスクがあると特定された。
UK.govは、ブランド評判保護サービス「Brave Cyber Defenders」が効果を上げていると見ています。デジタル・文化・メディア・スポーツ省は、過去1年間でサイバー攻撃や侵害を報告する英国企業が約10%減少したと推定しています。®
