2022年の1年間、約7億4,875万件の日本の消費者を狙ったサイバー攻撃を阻止。2023年以降はどうなる？
消費者向けセキュリティブランド「ノートン™」は、2022年の1年間に日本でブロックしたサイバー攻撃数を公表した。さらに、「2023年以降の予想 4選」を発表している。
2022年の1年間に、日本でノートンがブロックした合計のサイバー攻撃数は、約7億4,875万件(748,753,175件)。そのうち、フィッシング詐欺は合計約3,376万件(33,757,088件)、サポート詐欺は約2,293万件(22,926,449件)、Emotetなどのようにファイルで送付されるマルウェアは約675万件(6,753,393件)。
本レポートは、セキュリティソフト「ノートン」によりブロックしたサイバー攻撃を数値化したもの。レポートには下記が含まれる。
■2022年4-12月各月に、日本にてブロックしたサイバー攻撃の数
■2022年1-12月、日本でフィッシング詐欺に悪用されたブランド/企業ランキング
■消費者をターゲットにしたサイバー犯罪 今後の予想４選
2022年4月~12月各月のサイバー攻撃ブロック数 (日本)
2022年4-12月に日本では、月々平均約6,096万件(60,963,875件)のサイバー攻撃がブロックされ、そのうちファイル形式で送付されるマルウェアは、月々平均約50万件(503,720件)、フィッシング詐欺は月々平均約315万件(3,151,664件)、サポート詐欺は月々平均約151万件(1,508,220件)ブロックされた。フィッシング詐欺は、5月から11月の期間は各月300万件以上をブロックした。サポート詐欺に関しては、5月に500万件以上、6月に400万件近くブロックしており、多くの日本人がネットサーフィン時にサポート詐欺サイトに遭遇したことが確認されている。
*月々のブロック数は、2022年4月分以降のみ。
2022年1月~12月 最もブロックされたフィッシング詐欺(日本)
【日本でフィッシング詐欺に悪用されたブランド/企業ランキング】
*日本のノートンユーザーのデバイスでブロックされたフィッシング詐欺に基づいたランキング
2022年1-12月に日本では、多くのフィッシング詐欺が確認されたが、表はその中でも最も多かったフィッシング詐欺を「悪用されたブランド・企業」ごとにまとめ、ランキングにしたもの。サポート詐欺やエモテットに関連するサイト(マルウェア感染するエクセルファイルをダウンロードさせるサイト)に加え、大手検索サイト、SNS、クレジットカードブランドや通販サイトなどがランクインした。通販サイトや新幹線予約サイトなどに関しては、クレジットカード情報を含む個人情報の詐取および不正購入を目的としていることが想定される。また、メールサービスの詐欺サイトが12月に急増した。
*実際に詐欺サイトが確認されたブランドです。悪用されたブランド・企業は無関係である。
消費者をターゲットにしたサイバー犯罪 今後の予想 4選
■【予想1】オンライン上のサイバー犯罪や情報漏洩と、オフラインの犯罪行為を掛け合わせた犯罪が増える可能性。
2022年7月に、日本在住の会社経営者の男性が知らない間に携帯電話を解約され、電話番号を詐取・悪用され、さらにはインターネットバンキングから約１千万円を、知らない別口座に不正に振り込まれる事案が発生した。男性を名乗る人物が携帯ショップへ来店し、本人確認書類として運転免許証を提示し解約をした上で、電話番号を他のキャリアに変更する手続きを行ったとのこと。インターネットバンキングに関しては、高額出金のため、銀行から確認の電話をしたようだが、既に電話番号は詐欺師に渡っていたため、被害者本人へは確認の連絡が届かなかったとのこと。*6 この事案に関しては、調査の結果、フィッシング詐欺やパスワードの使い回しなどが原因として疑われるようだが、身分証や個人情報などは企業等から漏洩してダークウェブ等で取引されるケースもある。
このようなオンラインのサイバー犯罪・情報漏洩に加え、日本国内の店頭に来店し不正に携帯電話の解約手続きを行うなどのオフラインの犯罪を組み合わせた手口は巧妙で、今後も注意が必要。パスワードを推測されづらいものにし、使い回しをせず、フィッシング詐欺をブロックするセキュリティ機能や、漏洩を知らせるダークウェブモニタリング機能などを活用し、悪用される前にカードやログイン情報を変えるなど対処が必要。また身分証の画像をアップロードする先のサイトが偽サイトではないか、SNSやホームページなどに自身の情報を載せすぎていないかなど日常で注意を払うようにしてほしい。 *6 https://bit.ly/3j11zQp
■【予想2】サイバー攻撃を容易にするサブスクサービスを犯罪者が活用することで、フィッシング詐欺などサイバー攻撃が増加する可能性。
サイバー犯罪者間では、ダークウェブ上で、サイバー犯罪のマニュアルやトレーニングが売買されている他、ランサムウェア攻撃を容易にするランサムウェアの提供サービス(RaaS：ランサムウェアアズアサービス)やフィッシング詐欺を行うことを容易にするフィッシングのサービス （PhaaS：フィッシング・アズ・ア・サービス）がある。フィッシングのサービス(PhaaS)は、フィッシング詐欺のキットの用意や、リダイレクトするページの管理などフィッシング詐欺を行う上で必要な機能を包括的に提供するサブスクリプションサービスだが、かつてはダークウェブのフォーラム上で推薦や紹介を受けなければ利用できなかった。
しかし、2022年10月ごろに見つかった新プラットフォームの「Caffeine(カフェイン）」は、サブスク費用さえ払えば誰でも利用ができ、英語以外の一部言語にも対応をしているため、フィッシング詐欺を容易に誰でも始めることができ、今後このようなサービスを活用することでサイバー攻撃が増えることが懸念される。
【予想3】AI画像メーカーやディープフェイク（偽映像や音声作成）ツールなど、最新のテクノロジーを駆使することで、2023年以降もロマンス詐欺が増加する可能性。
2022年後半に日本のSNS上でもAIの画像メーカーが話題になったが、画像の内容を伝えるだけで、それに合致するイメージ画像を作成してくれるAIツールは、ロマンス詐欺にも悪用される可能性がある。偽の音声や合成映像を簡単に作れるツールも誕生しているが、以前からロマンス詐欺師はディープフェイク映像や、SNSに投稿されている自撮りの配信映像などを詐欺の連絡に悪用していたため、今後も最新のツールを駆使して、容易に新たな架空の人物のSNSアカウントを作っては捕まる前に消すことを繰り返す可能性がある。ロマンス詐欺師の詐欺行為にかかる手間やハードルがテクノロジーにより軽減され、より巧妙かつ効率的になることが考えられる。
■【予想4】2023年新たにオープンする話題の映画テーマパークや、話題のスポーツイベントに乗じた詐欺が登場する可能性。
2023年に、日本では人気映画のテーマパークが夏にオープンを予定しており、世界では「ラグビーワールドカップ2023」が9-10月に開催されるが、人々が情報を求めてネット上で検索するような人気イベントに乗じたフィッシング詐欺等を行うのがサイバー犯罪者の常習手口。サッカーのワールドカップや人気ネット番組をかたる偽サイトなども2022年では確認されているため、2023年もイベントごとに乗じた詐欺に注意が必要。「(他では売り切れている）チケットを買えます」や「映像が見れます」「グッズを買えます」などをかたる偽サイトが登場する可能性がある。
■【その他】
・旅行が2023年以降はさらに増えるため、旅行予約関係の偽サイト等にあらためて注意が必要。
・マイナンバーを利用する機会が増えるが、漏洩には注意が必要。マイナンバーの入力やカードの写真を求めるサイトは、偽物ではないかをよく確認してから情報を提供してほしい。(漏洩を通知してくれるダークウェブモニタリング機能の利用も有効。）
・物価上昇に伴い、「節約や投資をしよう」と考える消費者をターゲットとした詐欺サイトやDMなどでの勧誘には注意が必要。
・2022年に引き続き、ウェブ検索結果の最上位に偽サイトが表示されたり、公式アプリに偽アプリが掲載される可能性もあるため注意が必要。
