小売業界におけるサイバー犯罪の絶え間ない脅威を浮き彫りにする驚くべき事実が明らかになった。欧州の著名なディスカウント小売業者であるPepco Groupが最近、ハンガリーの事業においてフィッシング攻撃の被害に遭ったのだ。約1,500万ユーロ（1,630万ドル）という途方もない損失につながったこの事件は、業界に衝撃を与え、企業にサイバーセキュリティ対策の見直しを促している。
攻撃簡単な概要
2024年2月27日、Pepco Groupは、同社のハンガリー事業部門がフィッシングの手法を用いたサイバー犯罪者に狙われていたことを明らかにした。フィッシングとは、攻撃者が信頼できる実体を装って個人を欺き、機密情報を漏らすように仕向ける手口で、脅威者がよく使う手口でありながら成功を収めている。
ペプコの場合、攻撃者は約1500万ユーロの吸い上げに成功し、同社は資金の回収に関して不安定な状況に陥った。財務的な後退にもかかわらず、ペプコ社は、顧客、サプライヤー、従業員のデータは漏洩していないと世間に保証した。
Pepcoグループの攻撃で使用された可能性のあるフィッシングの手口
なりすましメール：
攻撃者は、上級幹部や信頼できる内部情報源から発信されたように見せかけた電子メールを送信した。この際、「差出人」アドレスを偽造し、組織内部から発信されたように見せかけた。
ソーシャル・エンジニアリング：
攻撃者は説得力のあるシナリオや言葉を使って、真偽を確かめることなく受信者に迅速な行動を促した。
緊急性と権威：
メールは緊急感を伝えるように作成され、役員や管理職など社内で権威のある人物から送られてきた。
パーソナライゼーションとAIツール：
攻撃者はおそらくAIツールを使ってメールをパーソナライズし、スペルミスのような典型的なフィッシングの指標を排除している。
脅威者が使用したと思われるもう1つの手法は、BEC（Business Email Compromise）である。この攻撃は、正規の電子メールアカウントにアクセスして内部コミュニケーションを観察し、最適なタイミングを選んで不正な電子メールを送信することを目的としています。
この例としては、攻撃者が幹部の電子メール・アカウントを侵害し、今後の支払いに関する電子メールのスレッドを監視し、戦略的なタイミングで不正な電子メールを送信して、資金を別の口座に振り向けるような場合がある。
対応策ディフェンスの強化
攻撃の余波を受け、ペプコ社はIT 、セキュリティと財務管理システムの包括的な見直しに着手した。目的は明確で、将来の攻撃に対する組織のサイバーセキュリティ対策を強化することである。この取り組みは単なるダメージコントロールではなく、利害関係者の信頼を回復し、事業の完全性を確保するための戦略的な動きである。
小売業界への影響
Pepco社の事件は、小売業のデジタル環境に内在する脆弱性を痛感させるものとなった。サイバーセキュリティはもはや、IT の懸念事項ではなく、戦略的なビジネス上の必須事項である。CISOやIT セキュリティスペシャリストにとって、この出来事は、従来のメールセキュリティでは対応できなかった部分をカバーする高度な防御層を追加することで、メールセキュリティに対するプロアクティブかつダイナミックなアプローチの必要性を強調している。
Email Security 姿勢を評価するOPSWAT
OPSWAT 、Microsoft 365のような従来のセキュリティ・ソリューションを回避する脅威を発見するEメール・リスク・アセスメントを提供している。
この評価で使用された重要な防御レイヤーの1つで、前述のフィッシング攻撃を阻止できた可能性があるのが、OPSWATのリアルタイム・アンチ・フィッシング・テクノロジーである。このソリューションは、スパムやフィッシング攻撃の99.98％の検出率を保証するために、複数の検出メカニズムとコンテンツフィルタリング技術を通して電子メールを処理する。
さらに、URLは書き換えられ、クリック時に30を超えるオンライン・ソースでソーシャル・エンジニアリングに対するレピュテーション・チェックを受ける。QRコードスキャンと書き換え機能は、ヒューリスティックと機械学習とともに、保護をさらに強化します。
高度な防御レイヤーが必要かどうかわからない？OPSWAT Email Risk Assessmentで、フィッシング、マルウェア、その他のエクスプロイトが既に防御を回避して組織のメールボックスに侵入しているかどうかを確認してください。
この迅速なアセスメントは、CISOやIT 、メールセキュリティ体制の強化を目指すセキュリティマネージャーにとって、中断することなく、洞察に満ちた実用的なレポートを提供します。
