＜サイパン＞FBI：Covid-19パンデミックを利用するサイバー詐欺師
ハワイ州ホノルル（連邦捜査局）—FBIは、サイバー攻撃者がCovid-19の大流行の結果として政府機関、民間部門、民間組織、および個人による仮想環境の使用の増加を利用することを予測しています。コンピュータ・システムと仮想環境は、通常のビジネスを行うことに加えて、テレワークと教育に不可欠な通信サービスを提供します。サイバー詐欺師はこれらのシステムの脆弱性を悪用して機密情報を盗み、金融取引を行う個人や企業を狙い、金を強要します。
2020年3月30日の時点で、FBIのインターネット犯罪苦情センター（IC3）は、Covid-19詐欺に関連する1,200件を超える苦情を受けて捜査を行ってきました。この数週間、サイバー攻撃者はファースト・レスポンダー（初動対応者）に対するフィッシング・キャンペーンに従事し、政府機関に対してDDoS攻撃を仕掛け、ランサムウェアを医療施設に配備し、被害者のデバイスにマルウェアを静かにダウンロードする偽のCovid-19 Webサイトを作成しました。最近の傾向に基づいて、FBIはこれらの同じグループが在宅勤務ソフトウェアの脆弱性、教育技術プラットフォーム、および新しいビジネス電子メール侵害スキームを介して、在宅勤務の企業および個人をターゲットとすることを査定します。
テレワークの脆弱性
FBIは、テレビ会議ソフトウェアやボイス・オーバー・インターネット・プロトコルやVOIP電話会議システムなど、テレワーク・アプリケーションに使用するアプリケーションを慎重に検討することを勧めています。テレワーク・ソフトウェアは、ユーザーが組織のアプリケーション、リソース、および共有ファイルにリモートでアクセスできるようにするさまざまなツールで構成されています。Covid-19のパンデミックにより、インターネットを介して情報をやり取りしたり、共有したりするために、テレワークを行う企業が急増しました。この知識により、悪意のあるサイバー攻撃者は、機密情報を入手したり、電話会議や仮想会議で盗聴したり、その他の悪意のある活動を行うためにテレワーク・ソフトウェアの脆弱性を悪用する方法を模索しています。テレワーク・ソフトウェアは個人、企業、学術機関にリモートで動作するメカニズムを提供しますが、ユーザーはそれらに関連するリスクを考慮し、重要な情報を保護し、ユーザーのプライバシーを保護し、盗聴を防ぐためにサイバー・ベスト・プラクティスを適用する必要があります。サイバー詐欺師は、テレワーク・アプリケーションを悪用するために以下のいずれかの手段を使用できます。
信頼できないソースからのソフトウェア
- 悪意のあるサイバー攻撃者は、正当な外観のテレワーク・ソフトウェア（無料または低価格で提供されている可能性があります）を使用して、機密データにアクセスしたり、会話を盗聴したりする可能性があります。
- サイバー詐欺師は、正当なテレワーク・ソフトウェアベンダーからのように見えるフィッシング・リンクや悪意のあるモバイル・アプリケーションを使用することもあります。
コミュニケーション・ツール
- 悪意のあるサイバー攻撃者が通信ツール（VOIP電話、ビデオ会議機器、クラウドベースの通信システム）を標的にして、サービスを過負荷にしてオフラインにしたり、電話会議を傍受したりする可能性があります。
- サイバー詐欺師はまた、テレビ電話のハイジャックを使用して、ポルノ画像、悪意のある画像、または脅迫的な言葉を挿入することで会議を妨害しています。
リモート・デスク・トップ・アクセス
- 一部のテレワーク・ソフトウェアは、リモート・デスクトップ共有を可能にします。これは、コラボレーションやプレゼンテーションに役立ちます。ただし、悪意のあるサイバー攻撃者は、これまでリモート・デスクトップ・アプリケーションを侵害しており、侵害されたシステムを使用して他の共有アプリケーションに移動することができます。
サプライ・チェーン
- 組織が在宅勤務を可能にするために、ラップトップなどの機器を入手しようとしているため、一部の組織は外国からのラップトップのレンタルを利用しています。以前に使用され、不適切にサニタイズされた機器には、プレ・インストールされたマルウェアが潜在的に含まれています。
教育技術サービスとプラットフォーム
今日の教育技術とオンライン学習の急速な統合は、学生のオンライン活動が綿密に監視されていない場合、プライバシーと安全性に影響を与える可能性があります。たとえば、2017年後半、サイバー攻撃者は、全米の複数の学区サーバーにハッキングすることで学校の情報技術やITシステムを悪用しました。彼らは学生の連絡先情報、教育計画、宿題、医療記録、カウンセラーのレポートにアクセスし、その情報を使用して、生徒に連絡を取り、強要し、身体的暴力と個人情報の公開を脅しました。詐欺師は、両親や地元の法執行機関にテキスト・メッセージを送信し、学生の個人情報を公表し、学生の個人を特定できる情報をソーシャルメディアに投稿し、そのような情報の公開が子供の捕食者が新しい標的を特定するのにどのように役立つかを述べました。
さらに、保護者と世話人は、オンラインの安全性の基盤をまだ持っていない子供に発行される、新しいテクノロジーに注意する必要があります。子供たちは、未知のWebサイトにアクセスしたり、オンラインで見知らぬ人と通信したりすることの危険性を認識しない場合があります。
ビジネスメールの侵害BEC
BECは、電信送金、小切手、および自動決済機関またはACH送金を送信できる個人および企業の両方を標的とする詐欺です。典型的なBECスキームでは、被害者は、被害者が通常取引を行う会社からのメールを受け取ります。ただし、メールでは、新しいアカウントに送金するか、標準の支払い方法を変更する必要があります。たとえば、この大流行の間、BEC詐欺師はベンダーになりすまし、Covid-19が原因で通常の業務以外での支払いを要求しました。FBIは、次の点に注意するよう市民に促しています。
- 電信送金の指示、または受信者のアカウント情報の緊急性および直前の変更の使用。
- 確立された通信プラットフォームまたは電子メールアカウントアドレスの直前の変更。
- 電子メールのみでの連絡、および電話による連絡の拒否。
- 以前に必要でなかった場合のサービスの前払いの要求。そして
- 直接預金情報を変更するための従業員からの要求。
あなた及びあなたの組織を保護するためのヒント
在宅勤務のヒント
実行
- 信頼できる評判の良いテレワーク・ソフトウェア・ベンダーを選択する。外国調達のベンダーを選択する際には、追加のデュー・デリジェンスを実施します。
- リモート会議、電話会議、仮想教室へのアクセスを制限します（可能な場合はパスワードの使用を含む）。
- 機密情報を明らかにすることを目的とした、ソーシャル・エンジニアリングの戦術に注意してください。フィッシングの疑いのあるメールをブロックするツールを利用するか、ユーザーがそれらを報告して隔離できるようにします。
- テレワーク・ソフトウェア・ベンダーからの広告や電子メールに注意してください。
- 常に正当なWebサイトのWebアドレスを確認するか、手動でブラウザに入力します。
しない
- 開いているWebサイトまたは開いているソーシャル・メディア・プロファイルで、リモート会議、電話会議、または仮想教室へのリンクを共有しない。
- 知らない送信者からの電子メール内の添付ファイルを開く、あるいはリンクをクリックしない。
- どうしても必要な場合を除き、リモート・デスクトップ・プロトコルや仮想ネットワーク・コンピューティングなどのリモート・デスクトップ・アクセス機能を有効にします。
教育技術のヒント
全米の学区は、動的に変化する学習環境に対処するために取り組んでいます。FBIは誰もがこれらの要求に順応していることを認めていますが、FBIは親と家族に以下を奨励しています。
行う
- 子供のedtechおよびオンラインサービスの使用を注意深く監視する。
- データ侵害の通知、マーケティング、および/またはユーザー・データの販売、データ保持の慣行、およびユーザーや保護者がリクエストにより生徒のデータを削除することを選択できるかどうかについて、edtechサービス・ユーザー契約を調査する。
- 子供の情報をインターネットで定期的に検索し、インターネット上での情報の露出と拡散を監視する。
- クレジットまたは個人情報の盗難の監視を検討して、子供の個人情報の不正使用をチェックする。
- サポートと追加のリソースを探している人がオンラインで利用できる、親の連合組織と情報共有組織を調査する。
- 学校関連、edtech、およびその他の関連ベンダーのサイバー侵害を調査する。これにより、生徒のデータとセキュリティの脆弱性を家族にさらに知らせることができます。
しない
- ユーザー・プロフィールを作成するときに、子供に関する正確な情報を提供しない。（たとえば、氏名の代わりにイニシャルを使用し、正確な生年月日の使用を避け、写真を含めることを避ける）
BECのヒント
行う
- 配線手順または受信者アカウント情報の最終直前の変更を確認する。
- ファイルに記載された受信者の連絡先情報を介してベンダー情報を確認しない；メールに記載されている番号を介してベンダーに連絡しない。
- 特にモバイル、またはハンド・ヘルド・デバイスを使用している場合は、送信者の電子メールアドレスが送信者の電子メールアドレスと一致するように見えることを確認して、電子メールの送信に使用される電子メールアドレスを確認する。
- 詐欺事件の被害者であることが判明した場合は、ただちに金融機関に連絡して資金の回収を要請し、雇用主に連絡して、給与デポジットの異常を報告してください。
できるだけ早く、FBIのインターネット犯罪苦情センター（www.ic3.gov）、またはBECや電子メールアカウントの侵害の被害者（https://bec.ic3.gov/）に苦情を提出してください。
サイバー犯罪の脆弱性のヒント
次のヒントは、個人や企業をサイバー攻撃者の被害から守るのに役立ちます。
- 適正なWebサイトのWebアドレスを確認し、ブラウザーに手動で入力します。
- ルーターとスマート・デバイスのパスワードをデフォルト設定から固有のパスワードに変更する。
- リンク内のスペルミスのドメイン名を確認します（たとえば、政府のWebサイトのアドレスの末尾が.govであることを確認します）。
- 職場のコンピューターでの不審な活動を雇用主に報告します。
- 組織のサイト、リソース、およびファイルにアクセスするときに多要素認証を使用します。
- 強力なパスワードやWi-Fi Protected AccessまたはWPA2プロトコルの使用など、Wi-Fiネットワークにアクセスするときは、優れたサイバーセキュリティを実践してください。
- デスクトップ、ラップトップ、およびモバイル・デバイスにウイルス対策ソフトウェアがインストールされ、定期的なセキュリティ更新が適用されていることを確認します。これには、定期的に更新されるWebブラウザー、ブラウザープラグイン、およびドキュメントリーダーが含まれます。
しない
- 知らない送信者から受信した電子メール内の添付ファイルを開いたり、リンクをクリックしない。
- 電子メール、または電話への応答として、ユーザー名、パスワード、生年月日、社会保障番号、財務データ、またはその他の個人情報を提供しない。
- 公共または安全でないWi-Fiアクセスポイントを使用して機密情報にアクセスしない。
- 複数のアカウントに同じパスワードを使用します。
さらに質問がある場合は、FBIグアム事務所（671-472-7465）までお問い合わせください。子供のデータが侵害された証拠がある場合、インターネット詐欺またはサイバー犯罪の被害者である場合、または疑わしい活動を報告したい場合は、FBIのインターネット犯罪苦情センター（www.ic3.gov）にアクセスしてください。
