Web Browser ベースのフィッシング：2023年の前半／後半の比較で 198% も増加

Browser Phishing Threats Grew 198% Last Year

2024/01/24 InfoSecurity — Web ブラウザ・ベースのフィッシング攻撃が、2023年の上半期と下半期の比較において 198% も増加し、それに伴い回避型攻撃も 206% 増加したことを、セキュリティ研究者たちが観測している。この調査結果は、Menlo Security が先日に発表した “2023 State of Browser Security Report” で報告されており、ブラウザを標的とする Highly Evasive Adaptive Threats (HEAT) の急増という、懸念すべき傾向を浮き彫りにしている。

この報告書によると、従来からのセキュリティ制御を無効にする回避型攻撃が、現時点のブラウザベース・フィッシング攻撃の 30％を占めているという。これらの巧妙な手口としては、SMS フィッシング／Adversary in the Middle (AITM)／画像ベース・フィッシング／ブランドなりすまし／多要素認証 (MFA) バイパスなどが挙げられる。

Menlo Security の CEO である Amir Ben-Efraim は、「人間は依然としてサイバー・セキュリティ・チェーンの最も弱い部分であり、企業の資格情報や機密情報などを意図せず漏洩してしまう。そして、脅威アクターたちは、イニシャル・アクセスを獲得するための侵入ポイントとして、Web ブラウザに焦点を移している」とコメントしている。

管理下／非管理下のデバイスにおいて、Web ブラウザの利用が急増し続けており、従来のネットワーク・ベースのセキュリティ管理では、突然のフィッシング攻撃の検出に苦慮することになる。

Menlo Labs Threat Research によると、30日間に 11,000 件以上のフィッシング攻撃を確認したという。注目すべきは、フィッシング・リンクの 75％ 、が信頼できるWeb サイト上でホストされていたことである。

さらに、2022年以降においては LURE (Legacy Reputation URL Evasion) 攻撃が 70％ も増加しており、フィッシング攻撃の開始と検知には、６日間の遅延が発生しているという。

Menlo Security の CISO である Devin Ertel は、「回避的なテクニックは、レーダーを逃れるように巧妙に作られており、セキュリティ・チームが発見するのは特に困難である。残念ながら、SWG や Endpoint Security のような最新のセキュリティ・ツールであっても、攻撃者たちはバイパスしていくため効果が無い」と述べている。

彼は、「しかし、我々の調査では、それらの高度なフィッシング攻撃であっても、Web ブラウザ・セキュリティで阻止できることが判明した。今日の回避的なサイバー脅威に対抗するために、ユーザー組織が採用すべきは、オブジェクト検出／URL リスク評価／Web ページ要素分析などの、さまざまな AI ベース・アプローチである。つまり、Web ブラウザ・セキュリティに的を絞ったアプローチが必要である」と締め括っている。

Menlo Labs の最新レポートは、2023年に発生した 4000億 Web セッション・データに基づいて報告されている。

2024年に入ってから、いくつかの年次調査レポートが紹介されています。そして、メール詐欺に関しては、2024/01/16 の「Email の悪夢 2023：ユーザー組織の 94% がメール・フィッシング攻撃に悩まされている」と、2024/01/17 の「金融サービス業界におけるメール詐欺 2023：ベンダーなどを装う攻撃が 137% 増」がありました。今日の記事は、Web を介したフィッシングに関するものですが、どの領域でも、攻撃が拡大しているようです。