ホエーリング攻撃【whaling attack】ホエールフィッシング攻撃/whale phishing

概要

ホエーリング攻撃とは、標的型のフィッシング攻撃の一種で、企業の経営幹部など高い地位や権限を持つ人物を標的とするもの。大きな権限を持つ人物を狙うことで、組織の資産や機密情報を一度に詐取することを狙う。

サイバー攻撃の一種で、インターネットなどを通じて標的に接触し、実在する組織や人物を装ってパスワードやクレジットカード番号などの重要な情報を聞き出したり、攻撃者への送金を促したりする詐欺を「フィッシング」（phishing）という。

フィッシングの中でも、特定の組織や人物を標的として、標的に特化した個別の偽情報を用意することで、より巧妙に標的を騙そうと試みる手法を「スピアフィッシング」（spear phishing）という。ホエーリング攻撃はスピアフィッシング攻撃のうち、企業のCEOやCFO、その他の役員など組織の上級管理者を狙う場合を指す。“whaling” とは「捕鯨」の意。

攻撃者は標的となる人物の公開情報やSNS、企業の公式発表、報道記事などから組織構造や業務内容、人間関係などを事前に調査し、実在する取引先や社内関係者を装った電子メールを送信することが多い。例えば、取引先企業の担当者を名乗って送金手続きを依頼したり、社内の財務担当者になりすまして緊急の支払いを要求したりする手口が知られている。

また、偽のログインページへ誘導して認証情報を入力させることで、クラウドサービスや社内システムへの不正アクセスを試みる場合もある。この種の攻撃は、いわゆる「ビジネスメール詐欺」（BEC：Business Email Compromise）と呼ばれる不正送金詐欺と組み合わされることも多い。

組織内で大きな権限を持つ人物を騙すことができれば、組織内の資産を詐取することができるため、一般的な個人を対象とした攻撃よりも大きな利得が期待できる。一方、高位の人物ほど高いセキュリティ教育を受けていることが多く、重要な権限を行使する際は組織的な確認プロセスを経ることもあるため、攻撃の難易度は高い。