調査対象となった組織の50%がスピアフィッシング攻撃の被害に遭っていることが明らかに
ハッカーが侵害したアカウントから送信する悪意あるメールは、1アカウント当たり平均370件
クラウド対応セキュリティソリューションのリーディングプロバイダーであるBarracuda Networks, Inc.の日本法人、バラクーダネットワークスジャパン株式会社（以下、バラクーダネットワークス）は、調査レポート「2023年スピアフィッシングの動向」を発表した※。本レポートは、350万件のメールボックスにわたる500億通のメール内に、3000万通近いスピアフィッシングメールを含むデータセットに基づいて、バラクーダが独自分析した調査結果を紹介しているものである。
レポート（日本語版）のダウンロードはこちら
https://www.barracuda.co.jp/download/J-2023-SpearPhishingTrends
ハイライト
- 調査対象企業の24%の企業が、年間少なくとも1件のメールアカウントを侵害されている
- メールセキュリティのインシデントを検出するには、平均で2日近くを要する
- ハッカーが侵害したアカウントから送信する悪意あるメールは、アカウント1件当たり平均370件
本レポートの調査対象となった組織の50% が 2022 年にスピアフィッシングの被害に遭い、24% がアカウント乗っ取りによって少なくとも1件のメールアカウントを侵害された。サイバー犯罪者は、標的型スピアフィッシング攻撃による組織への攻撃の手を緩めておらず、多くの企業は対応に苦慮している。スピアフィッシング攻撃は、ほかのタイプのメール攻撃と比較すると、量は少ないものの広く普及しており、成功率はとても高くなっている。そのほか、主な調査結果は下記の通り。
スピアフィッシング攻撃の蔓延：分析対象となった組織の50%が 2022 年にスピアフィッシングの被害に遭い、典型的なケースでは１日あたり５通の高度にパーソナライズされたスピアフィッシングメールを受け取っていた。
スピアフィッシング攻撃の成功：バラクーダのデータによると、スピアフィッシング攻撃はすべてのメールベースの攻撃のわずか0.1% だが、すべての侵害の 66 %に関与している。
苦戦を強いられている組織：スピアフィッシング攻撃被害者の55％が、コンピュータがマルウェアやウイルスに感染したと回答している。49％が機密データを盗まれ、48％がログイン情報を盗まれ、39％が直接金銭的損失を報告している。
依然として課題となっている検知と対応：平均すると、組織は電子メールの脅威が配信されてから特定し、対応し、修復するまでに100時間近くかかっている。攻撃を検知するまでに43時間、そこからの対応と修復に56時間かかっている。
リモートワークがリスクを増大：リモートワーク比率が50% 以上の企業では、不審な電子メールの数は１日平均12 通。50% 未満の企業では１日平均９通となっており、比較すると高いレベルとなっている。
リモートワークの増加により、検知や対応時間に遅れが：リモートワーカーが 50 ％以上となる企業では、メールセキュリティインシデントの検知と対応の両方に時間がかかると回答している。検出に 55 時間、対応と緩和に 63 時間がかかっている。リモートワーカーが少ない企業ではそれぞれ平均 36 時間、51 時間である。
バラクーダのCTOであるFleming Shiは、次のように述べている。「スピアフィッシングは、標的型攻撃やソーシャルエンジニアリングによる手口で、その量は少ないとはいえ、相当数の侵入を成功させており、たった1回の攻撃が成功しただけで壊滅的な影響を与える可能性があります。このような非常に効果的な攻撃に先手を打つために、企業は人工知能を備えたアカウント乗っ取り防止ソリューションに投資する必要があります。このようなツールは、ルールベースの検知メカニズムよりもはるかに高い効果を発揮します。検知の有効性が向上することで、攻撃時に必要な対応を減らし、スピアフィッシングを阻止することができます」。
調査方法
本レポートには、バラクーダが独自分析した結果に加えて、独立系調査会社のVanson Bourneがバラクーダの委託を受けて実施した調査の結果も含まれています。Barracuda は独立した市場調査会社であるVanson Bourne に委託し、IT マネージャーと ITの専門家、ベテランのITセキュリティマネージャー、IT および ITセキュリティについて意思決定権を有する人々を対象とした世界規模の調査を実施した。幅広い業界から1350が調査に参加した。 調査参加企業の拠点国は、米国、オーストラリア、インド、ヨーロッパ。そのうち、ヨーロッパの参加企業の拠点は、イギリス、フランス、DACH（ドイツ、オーストリア、スイス）、ベネルクス諸国（ベルギー、オランダ、ルクセンブルグ）、北欧諸国（デンマーク、フィンランド、ノルウェー、スウェーデン）となった。調査は 2022 年 12 月に実施。
※本レポートは、2022年12月に行われた調査を、2023年にまとめたもの。
関連リンク:
レポート 「2023年スピアフィッシングの動向」 (日本語版)
https://www.barracuda.co.jp/download/J-2023-SpearPhishingTrends
ブログ 「レポート： 2023年スピアフィッシングの動向」
https://www.barracuda.co.jp/2023-spear-phishing-trends/
