NEW不正なコマンドを実行させる偽CAPCHAの攻撃に注意喚起

前述した手順は、1)でWindowsの「ファイル名を指定して実行」のウィンドウを開き、2)で事前にクリップボード内にコピーされた不正なコマンド(PowerShellスクリプト)をペーストし、3)でそのコマンドを実行させるという流れとなっていますが、さらに1)の前段で不正なコマンドを事前にクリップボードへコピーするため、何らかのボタンのクリックを指示したり、密かに何らかの動作を行うよう仕向けたりしている模様です。

このような、ユーザー側に過剰に協力を求める不審な手順への誘導に遭遇した場合は、それが攻撃手法の一つとして既に警告が出ていないか、ネット上で検索を行って確認すること、また常日頃からどんな攻撃手法が出回っているかの情報収集を行いつつ、ブラウザー・メーラー・アンチウイルスソフト・UTM等のセキュリティ機能により、不審なWebサイト・偽メールからの防御を図ることが肝要です。

「フィッシングサイトではパスワード管理ツールが自動入力を行わない」ことはフィッシング回避のための有効なセオリーとしてよく挙げられる一方、「アカウント情報を別のドメイン名のサイトで入力しなければならない」場面も少なからず存在します。

同氏はMailChimpの認証で採用されていたワンタイムパスワード(OTP)等の二要素認証(2FA)はフィッシングや中間者攻撃への耐性がない(フィッシングサイトに入力されたOTPが本物のサイトに中継される等の可能性あり)と指摘、それらの攻撃に耐性のあるとされる、ハードウェアキーやパスキー等による2FAを採用すべきとしています。

「著名なセキュリティ専門家ですらフィッシング攻撃に騙されてしまった」という今回の出来事が、単にセンセーショナルな話題のみで消化されるのではなく、いかにも見破りやすいものだけとは限らない、巧妙なフィッシングの存在への警戒や、フィッシング対策の観点からのパスキーの採用等が進む一助となるかに注目されるところです。