【悲報】日本の公的機関は標的型メールを不自然さだけで判断する教育しているのが確定
副題：IPAのサイバーレスキュー隊の質が酷過ぎて被害を拡大している恐れについて
「特定業界を執拗に狙う標的型サイバー攻撃の分析レポート」を公開
＜サイバーレスキュー隊（J-CRAT）分析レポート2015＞：IPA 独立行政法人 情報処理推進機構
こんなのがあるそうです
| 送信にフリーメールが使われることが依然多い標的型攻撃メールである、本キャンペーンでは企業の正規メールアカウントを乗っ取り、不正に利用してメール送るケースが大半であった。 |
これホント？
どっちかというと、企業の正規アカウントを偽装して、自前のサーバーから送ったり、フリーメールのサーバーから送ったりする方が多いと思うんだけど、送信アドレスが偽装されてたら、メールサーバーが偽装されてると勘違いしてない？
IPA 独立行政法人 情報処理推進機構：標的型攻撃に関する調査結果
あやしいウィルスなどのメールの見分け方の実例紹介だそうだ
| 【違和感に気付くポイント】 今回解析した標的型攻撃メールの受信者は、下記のポイントからこのメールが標的型攻撃ではないかとの疑いを持ち、添付ファイルを開くことはしませんでした。 ■最初、送信者と同名の職員からのメールかと思ったが、その職員が送りそうにない件名である ■業務用のメーリングリスト宛てなのに、件名が「私信」である ■送信者に心当たりがないのに、「先日は…」という書き出しで始まる |
まぁ、これは６年前のだから、１００歩譲ることにしよう・ω・
標的型攻撃メールの例と見分け方(2015年度版)
表 2-1 標的型攻撃メールの着眼点
| メールのテーマ |
| ① 知らない人からのメールだが、メール本文の URL や添付ファイ ルを開かざるを得ない内容 (例 1) 新聞社や出版社からの取材申込や講演依頼 (例 2) 就職活動に関する問い合わせや履歴書送付 (例 3) 製品やサービスに関する問い合わせ、クレーム (例 4) アンケート調査 |
| ② 心当たりのないメールだが、興味をそそられる内容 (例 1) 議事録、演説原稿などの内部文書送付 (例 2) VIP 訪問に関する情報 |
| ③ これまで届いたことがない公的機関からのお知らせ (例 1) 情報セキュリティに関する注意喚起 (例 2) インフルエンザ等の感染症流行情報 (例 3) 災害情報 |
| ④ 組織全体への案内 (例 1) 人事情報 (例 2) 新年度の事業方針 (例 3) 資料の再送、差替え |
| ⑤ 心当たりのない、決裁や配送通知 (英文の場合が多い) (例 1) 航空券の予約確認 (例 2) 荷物の配達通知 |
| ⑥ ID やパスワードなどの入力を要求するメール (例 1) メールボックスの容量オーバーの警告 (例 2) 銀行からの登録情報確認 |
| 差出人のメールアドレス |
| ① フリーメールアドレスから送信されている |
| ② 差出人のメールアドレスとメール本文の署名に記載されたメー ルアドレスが異なる |
| メールの本文 |
| ① 日本語の言い回しが不自然である |
| ② 日本語では使用されない漢字（繁体字、簡体字）が使われている |
| ③ 実在する名称を一部に含む URL が記載されている |
| ④ 表示されている URL（アンカーテキスト）と実際のリンク先の URL が異なる（HTML メールの場合） |
| ⑤ 署名の内容が誤っている (例 1) 組織名や電話番号が実在しない (例 2) 電話番号が FAX 番号として記載されている |
| 添付ファイル |
| ① ファイルが添付されている |
| ② 実行形式ファイル( exe / scr / cpl など)が添付されている |
| ③ ショートカットファイル( lnk など)が添付されている |
| ④ アイコンが偽装されている (例 1) 実行形式ファイルなのに文書ファイルやフォルダのアイコ ンとなっている |
| ⑤ ファイル拡張子が偽装されている (例 1) 二重拡張子となっている (例 2) ファイル拡張子の前に大量の空白文字が挿入されている (例 3) ファイル名に RLO 4 が使用されている |
…あの、メールの間違い探しして、標的型メール防げと？
原始的だけど、確実なメールヘッダを見て確認する方法について、微塵も触れていない
これで、日本の公的機関が、役に立たないセキュリティ教育に税金突っ込んでることが確実になりました
いやいや、これ、日本で、情報漏えい引き起こすために、こんな役に立たないそれっぽい教育してるだけでしょ？
馬鹿でもわかるよ ・ω・
JTB、偽装メールの対策教育が根本的に間違ってた可能性
先日の記事、半分冗談で書いたんだけど、冗談で済まなかったよ・ω・
確実に言えるのは、根本的な改革を行わない限り、いくら気を付けると宣言しても、日本の金融機関、公的機関、個人情報を扱う大手企業からの情報漏えいはなくなるはずがない。
|｡･ω･)。o (１０年どころか２０年遅れてるチェック方法の教育してるよ。税金返せ！)
Translate
そんな我が国が、インターネット博覧会などというイベントをやっていたことに驚愕するんですがね。
まぁそれはともかくとして、ブラウザでWeb閲覧してる程度で「パソコン使えます！」なんて言ってるレベルと同じだと思うんですよ。
ExcelWordが使える！と言っても関数が扱える訳でもなく、ピポッドテーブルなんぞ知る由もなく、ただ「タイピングが出来るだけ」の人達なんでしょう。
そんな人達がやれセキュリティだなんてのは、笑止千万ですわ。
これが現状でしょう。
対策のための予算であって、被害が無くなればこの後困りますからね。
根本対策など期待するだけ無駄というものです。
ヘッダを見るとか教えても「わかりにくい」と言われるのが目に見えていますんで、それを嫌ったんじゃないかと。
情報として不十分、あるいは間違っていても「わかりやすさ」が重要らしいですから。