ITチームが未把握のデバイスからも侵入、高度化するフィッシング攻撃をどう防ぐ

　クラウドサービスの利用拡大とリモートワークの普及により、デバイスの境界の曖昧さが増したことなどを背景に、企業を標的としたフィッシング攻撃が増加している。攻撃者は特にソーシャルエンジニアリングとスピアフィッシング（標的型フィッシング）にフォーカスして、クレデンシャルの侵害を企てている。

　例えばソーシャルエンジニアリングでは、ITヘルプデスクを装って企業の従業員に電話をかけ、IDやパスワードなどの情報を盗み出す。スピアフィッシングは、機密情報取得などのために、特定の組織や人物を狙った偽の電子メールからフィッシング用Webサイトに誘導するといった具合で、いずれも組織のセキュリティの人的要素を悪用してくる。

　このように攻撃者は、ITチームが把握していないデバイスを使用していても、組織の内部システムに侵入できる。本資料では、巧妙化するフィッシング攻撃について分析し、高度な攻撃を防ぐ方法として、多要素認証（MFA）によるID中心のゼロトラストセキュリティのアプローチを考えていく。