クリプトジャッキングの仕組みと対策。CPUを無断で借用され暗号資産を採掘される攻撃
クリプトジャッキングを侵入経路から検知の着眼点まで整理します。クラウド認証情報の窃取やDockerやKubernetesの管理API露出、MITRE ATT&CKのResource Hijacking(T1496)に沿った分類、AWSやGoogle Cloudの検知機能まで実務担当者向けに解説します。
ランサムウェア、フィッシング、マルウェアなど、最新の攻撃手法と脅威動向を追い、仕組みと対策を整理します。
クリプトジャッキングを侵入経路から検知の着眼点まで整理します。クラウド認証情報の窃取やDockerやKubernetesの管理API露出、MITRE ATT&CKのResource Hijacking(T1496)に沿った分類、AWSやGoogle Cloudの検知機能まで実務担当者向けに解説します。
Torのオニオンルーティングと.onionサービスの仕組みを原理から整理し、なぜランサムウェアのリークサイトや不正市場がこの上に置かれるのかを説明します。自組織の情報が流出したときに気づくための監視の考え方と、Tor経由の通信をどう扱うかまでを実務目線でまとめます。
攻撃者が本人になりすまして携帯回線を再発行させ、電話番号ごと乗っ取るSIMスワップの手口を解説します。奪った番号でSMS認証や電話の本人確認をどう突破するのか、なぜSMS認証が弱点になるのか、キャリアのPIN設定やSMSに依存しないMFAへの移行、急な圏外という予兆と初動を、利用者と組織の視点で一次情報をもとに整理します。
生成AIで作った偽の声や顔を使い、経営者や家族になりすまして送金させるディープフェイク詐欺。なぜ人の耳や目では見抜きにくいのかという機構から、企業の承認プロセスの統制、家族間の合言葉まで、確認手順で止める方法を実務目線で解説します。
ScreenConnectやAnyDeskなどの正規のリモート監視管理ツール(RMM)が、侵入後の遠隔操作とサポート詐欺の二つの経路で悪用される仕組みを、CISAの共同勧告やベンダー公式情報をもとに整理し、未許可の導入を見分けて防ぐ実務的な手立てを解説します。
AIエージェントを外部ツールにつなぐMCPサーバーの攻撃面を、ツールポイズニングや間接プロンプトインジェクション、過剰な権限とトークンの扱い、信頼できないサーバーとrug pullに整理し、利用者と開発者と組織の防御を公式仕様をもとに解説します。
盗んだnpmトークンで自分を別パッケージへ再公開し、自動で広がるnpmワームの仕組みを、Shai-Huludとその亜種の事例から解説します。install時にコードが走る経路と、開発者と組織それぞれの防御策を整理します。
一見便利なChromeやEdgeの拡張機能が、自動更新で後から情報窃取ツールへ変わる手口が相次いでいます。なぜ審査をすり抜け気づきにくいのか、その仕組みと、利用者と組織それぞれの実務的な対策を解説します。
正規サイトのデザインや商品写真を盗用し、大幅な値引きで誘い込む偽通販サイトの仕組みと、URLや支払い方法から見抜く方法、注文してしまったときの初動と相談窓口を公的情報をもとに整理します。
LINEやInstagram、Xのアカウントが乗っ取られる手口を一般利用者向けに整理します。フィッシングや認証番号の聞き出し、パスワードの使い回しがなぜ不正ログインにつながるのか、二段階認証や端末の見直しといった守り方、乗っ取られたときの初動を一次情報をもとに解説します。
パソコンに偽のウイルス警告や警告音を表示し、利用者を焦らせて偽のサポート番号へ電話させ、遠隔操作で金銭をだまし取るサポート詐欺の仕組みを解説します。警告は多くがブラウザの表示で実際の感染ではない点と、電話しない、画面の閉じ方、すでに操作させた場合の初動を一次情報から整理します。
偽サイトが入力したIDやパスワード、ワンタイムパスワードをその場で正規サイトへ中継し、認証済みセッションを奪うリアルタイムフィッシング(AiTM)の仕組みを解説します。なぜOTPやSMSでも突破されうるのか、ネットバンキング不正送金の現況、パスキーやFIDO2による構造的な対策までを一次情報をもとに整理します。
宅配の不在通知や銀行、携帯電話会社を装う偽SMSで偽サイトや不正アプリへ誘導し、IDやカード情報を盗むスミッシングの仕組みを一般利用者向けに整理します。なぜSMSが狙われるのか、AndroidとiPhoneで変わる手口、見分け方と対処、個人と組織の対策を一次情報をもとに解説します。
VPN機器やファイアウォールなど境界に置くエッジ機器の脆弱性が、なぜ侵入口として狙われるのかを一次情報で整理します。攻撃者が公開機器を探索して内部へ横展開する流れ、取引先の機器が踏み台になる側面、パッチ優先度や露出削減といった運用側の対策を解説します。
攻撃者が生成AIをフィッシング文面の量産やディープフェイクによるなりすましに使うと、何がどう変わるのかを整理します。日本語の不自然さに頼る判断が通用しにくくなった理由と、利用者や組織が兆候を見分けて備える方法を一次情報をもとに解説します。
QRコードに不正なURLを仕込んで偽サイトへ誘導するクイッシングの仕組みを、一般利用者にも分かる形で解説します。なぜテキストリンクより気づきにくいのか、偽ステッカーや偽の宅配通知を装う手口、読み取った後の見分け方と個人と組織の対策を、一次情報をもとに整理します。
情報窃取型マルウェアが保存パスワードやブラウザのセッションCookie、暗号資産ウォレットを盗む手口と、窃取したCookieで認証済みセッションを再現して多要素認証を回避する機構を、一次情報をもとに整理します。感染経路と個人や組織の対策もあわせて解説します。
偽の認証画面や偽のエラー画面を見せ、利用者自身にコマンドを貼り付けて実行させるClickFixの仕組みを解説します。なぜブラウザのダウンロード警告が出ないのか、正規のCAPTCHAとの見分け方、個人と組織それぞれの防御を、一次情報をもとに整理します。
LLMアプリやAIエージェント、コーディング支援を狙うプロンプトインジェクションの仕組みを、直接型と間接型に分けて解説。実例とOWASP/IPAの最新動向をもとに、権限分離や人間の承認といった実務の防御設計までを整理します。
攻撃者の行動を戦術と技術のマトリクスで整理するMITRE ATT&CKを、原理から実務での使い方まで解説します。検知ルールの評価やレッドチーム演習、脅威インテリジェンスへの活用の勘所を具体的に示します。
DDoS攻撃を帯域を溢れさせるボリューム型、コネクション資源を狙うプロトコル型、正常に見えるアプリ層の3種に分けて原理から解説し、CDN・WAF・専用の緩和サービスをどう使い分けるかを運用目線で整理します。
経営層や取引先になりすまし、正規の業務メールに紛れて送金させるビジネスメール詐欺(BEC)。手口の原理から、なぜ気づきにくいのか、そして送金プロセスの統制と二重確認による組織的な防ぎ方までを実務目線で解説します。
依然として被害が絶えないフィッシング詐欺について、典型的な手口とその進化、見破り方、個人と組織それぞれでできる対策、そして万一被害に遭ったときの対応までを、専門知識がなくても分かるように網羅的に解説します。
技術の脆弱性ではなく人の心理を突くソーシャルエンジニアリング。なりすまし、プリテキスティング、テールゲーティングといった代表的な手口の原理と成立条件、個人と組織でできる対策を、専門知識がなくても分かるように実務目線で解説します。
自社が直接狙われなくても、取引先やライブラリ、サービス経由で侵入されるのがサプライチェーン攻撃です。実例をもとに攻撃の構造を分解し、信頼の前提を見直すための実務的な防御の考え方を解説します。
マルウェアはひとくくりの「悪いソフト」ではありません。ウイルス・ワーム・トロイの木馬・RAT・スパイウェアといった分類が何を意味するのか、どこから感染し何をされるのかを、原理から噛み砕いて整理します。
ランサムウェア被害の大半はVPNやリモートデスクトップからの侵入で起きます。初期侵入経路、二重恐喝の仕組み、そしてバックアップと隔離による被害最小化を、実務で判断できる粒度まで噛み砕いて解説します。