フィッシングメール、スパムメール、標的型メール、何がどう違うの？

フィッシングメール、スパムメール、標的型メール、違いってわかります？

新聞などで目にする、犯罪に使われるメールの呼び名は幾つもあります。

フィッシングメール、スパムメール、ウィルスメール、そして標的型メール。言葉は見知っていても、それぞれの違いについて、明確な説明はできるでしょうか？

セキュリティ対策に関わっている方なら、当然知っていて欲しい、それぞれの呼び名の違いですが、一般の従業員の方になると、きちんと説明できる方というのはグッと少なくなってしまうものです。

明確な説明ができない。ということは、それぞれの特徴についてきちんと理解していない。ということであり、特徴についてちゃんとわかっていなければ、防げるはずの被害も、防ぐことができなかったりするもの。

簡単なことで被害に遭ってしまったりしないよう、従業員全員に正しい知識を伝え、きちんと理解をしてもらうようにすることは、被害に遭わないようにするための第一歩であり、お金をかけなくとも、今すぐにでもできるセキュリティ対策の一つです。

フィッシングメールとは？

フィッシングとは英語で「釣る」の意で、メールをきっかけに読み手を騙し、金銭などを巻き上げる。つまり、被害に遭う人や、ウィルスに感染させて乗っ取るパソコンを「魚」に見立て、『メール』という釣り針を使って獲物を獲得することから、『フィッシングメール』という呼び名が付けられました。

獲物（主には金銭）を獲得することが目的であるため、フィッシングメールは、単にウィルスに感染させることだけが目的のものとは違う。ということになります。

オンラインバンキングを乗っ取ることを狙い、銀行になりすまして送られてくるメールなどは、お金という獲物を獲得することを狙っているので、フィッシングメールの代表格と言えます。

スパムメールとは？

スパムメールは迷惑メールの代表格であり、昔からありすぎて、その語源について知らない人も意外といらっしゃるかもしれません。

スパムメールの『スパム』とは、スーパーなどで「SPAM」という名称で売っている、缶詰のポークランチョンミートのこと。

スパムメールとSPAMの缶詰は全く関係ないのですが、海外のコントに、この缶詰のSPAMを題材にしたものがあり、スパムメールの迷惑さ加減が、このコントに通じるものがあったことから、いつの頃からか、迷惑メール＝スパムメールと呼ばれるようになりました。

当の缶詰メーカーからすれば、自社の商品が迷惑メールと同列に扱われるというのは迷惑な話ですが、そのおかげで知名度が上がり、今では商品を扱ってくれるお店が増えたことを考えれば、結果的には、悪いことではなかったのかもしれません。

さて、そのスパムメールですが、確率論に基づき、数打ちゃ当たる方式で、とにかく大量に送る。というのが特徴です。

その内容も様々で、商品販売サイトに誘導するものだったり、特定の番号に電話をかけさせるものだったり、ウィルスに感染させるものだったりと、必ずしもウィルスに感染させることが目的とは限らず、とにかく、誰かが引っかかってくれれば儲けもの。と考え、何らかの目的を持って大量に送る。というのが、スパムメールです。

フィッシングメールも、辺り構わず、あちこち大量に送りつけられているようなものは、スパムメールと呼ばれても間違いではありません。

標的型メールとは？

標的型メールも、フィッシングメールと似てはいますが、スパムメールやフィッシングメールと大きく違うのは、『標的』とあるように、特定のターゲットをピンポイントで狙い撃ちして送ってくる。という点です。

つまり、誰かが引っかかってくれれば儲けもの。と考えるのではなく、狙った相手（組織や個人）を騙すことを目的として、どうすれば目的を達成できるか？を考え、そのためにできる手立てを次から次に打ち出してくる。というのが大きな特徴です。

確率論に基づくものではないので、攻撃に使われるメールは周到に用意されたものであり、狙った相手が引っかかるまで執拗に攻撃を仕掛けてくる。というのも、特徴の一つです。

ピンポイントでの狙い撃ちなので、メールに添付されるウィルスも特別に作成したものである場合があり、ウィルス対策ソフトにとっては未知のウィルスとなってしまうため、検知できないケースもある。というのが、厄介なところです。

広く大量に送信することを前提としたスパムメールやフィッシングメールでは、添付されているウィルスはウィルス対策ソフトによって検知され、既知のウィルスとなる確率が高いことから、ウィルス対策ソフトを常に最新の状態にしておけば、被害を防ぐことに繋がりますが、標的型メールでは、ウィルス対策ソフトをどんなに最新にしても、既知でないウィルスからパソコンを守ることはできませんから、ウィルス対策ソフトさえ入れておけば大丈夫。という考えは全く役に立たない。ということになります。

普段から攻撃を受けていないような組織では、まさかウチが狙われたりするわけがない。と思ってしまいがちですが、日本年金機構の情報漏洩事件でサーバーが踏み台として使われた海運会社の例のように、簡単にサーバーを乗っ取ることができてしまうなど、使い途のあるところは、攻撃者からすれば、利用価値のある格好の獲物となり得ます。

ウチは小さい会社だから。とか、有名な会社ではないから。といったことは全く関係がありません。利用できる相手は、誰であろうと利用する。それが犯罪者の心理ですので、ウチなんて狙われたりするわけがない。などと、決してタカをくくらないことです。

標的型メール訓練に関するご質問をお請けしています！

標的型メール訓練に関する、あんな疑問やこんな疑問がありましたら、
お問い合わせフォームより、お気軽にお問い合わせ下さい。
お寄せ頂いたご質問には、できる限り迅速に回答をさせて頂きます。