「スプーフィング」は、第三者がコンピューターデバイスやネットワークを使い、正規のユーザーに成りすまして不正アクセスや情報の盗み取りを図るサイバー攻撃の一種です。近年、ネット環境の拡大と共に被害が増加しており、対策が急務となっています。

この記事では、スプーフィングの9種類を詳細に解説し、それぞれの対策方法についても詳しく紹介します。

スプーフィングについての理解を深め、未然に防ぐための参考にお役立てください。

スプーフィングについて

ここからは、スプーフィングについて、以下の3つの項目に分けて解説します。

• スプーフィングとは？
• スプーフィングの定義
• スプーフィングの仕組み

上記それぞれを詳しく見ていきましょう。

スプーフィングとは？

スプーフィングとは、サイバー犯罪者が信頼されている個人や団体、デバイスになりすまし、ユーザーに不利益な行動を取らせる行為を指します。

このなりすましの手法は、オンライン詐欺師が他人の身元を偽装する全ての行為に適用され、さまざまな通信手段で利用されています。

多くの場合、ソーシャルエンジニアリングを駆使し、技術的な知識不足や恐怖心、欲望といった人間の弱みを巧みに突いて、被害者を心理的に誘導するのが特徴です。

スプーフィングの定義

サイバーセキュリティの分野では、他人や他の物になりすまして信頼を得ようとする詐欺行為を「スプーフィング」と呼びます。

これを行う主な目的は、システムへの不正アクセス、データや金銭の窃取、あるいはマルウェアの拡散などです。

スプーフィングの仕組み

スプーフィングは、偽のメールやWebサイトを使った「なりすまし行為」と、ターゲットに特定の行動を取らせる「ソーシャルエンジニアリング」の組み合わせです。

攻撃者は信頼できる人物を装って、説得力のある理由で送金を依頼するケースが多く、成功すれば個人情報の窃取やネットワークへの不正侵入、さらにはランサムウェア攻撃やデータ漏洩などの被害に発展する恐れがあります。

スプーフィング｜9つの種類

スプーフィングの主な9種類は以下のとおりです。

• メールスプーフィング
• Webサイトスプーフィング
• IPスプーフィング
• テキストメッセージスプーフィング
• 発信者IDまたは電話スプーフィング
• DNSスプーフィング
• ARPスプーフィング
• GPSスプーフィング
• 顔のスプーフィング

ここからは、上記9つそれぞれの特徴を詳しく解説します。

メールスプーフィング

メールスプーフィングは、送信者がメールヘッダーを偽装して偽のアドレスを表示し、受信者を欺く攻撃手法です。

多くのユーザーは送信者を信じてしまい、送金やシステムアクセスの許可を求める偽装メールを受け取ってしまいます。

これらのメールにはトロイの木馬などのマルウェアが添付されていることも多く、開封すると個人のパソコンだけでなくネットワーク全体に感染する恐れがあります。

Webサイトスプーフィング

Webサイトスプーフィング、別名URLスプーフィングは、正規サイトに似せた偽のサイトを使った詐欺手法です。

この偽サイトでは、ログインページやロゴなどが本物そっくりに作られ、URLも一見正しく見えます。目的はログイン情報の盗用や、マルウェアの侵入です。

メールスプーフィングと組み合わせ、偽サイトへのリンクが貼られたメールを送るなどして、ユーザーを誘導するケースが少なくありません。

IPスプーフィング

メールスプーフィングがユーザーをターゲットにするのに対し、IPスプーフィングは主にネットワークを狙います。

この手法では、攻撃者が偽のIPアドレスを使用して、信頼された内部ネットワークから送信されたかのように見せかけたメッセージを送ります。

具体的には、正規ホストのIPアドレスを特定し、その情報を使ってパケットヘッダーを改ざんし、信頼できる送信元に見せかけます。

IPスプーフィングは、特にDDoS攻撃と連携する場合、ネットワーク全体をダウンさせるリスクが高いため、早期の検診が必要でしょう。

テキストメッセージスプーフィング

テキストメッセージのスプーフィング、またはSMSスプーフィングは、送信者が偽の情報を表示し、受信者を騙す手法です。

企業が顧客の利便性を考慮して、覚えやすい英数字のIDを使用する場合がありますが、詐欺師はこれを悪用し、真の企業や団体になりすますことがあります。

偽装されたメッセージには、SMSフィッシング（スミッシング）サイトやマルウェアのダウンロードリンクが含まれているケースもあり、これらは受信者の情報を盗むのが目的です。

発信者IDまたは電話スプーフィング

　
発信者IDのスプーフィング、または電話スプーフィングは、詐欺師が発信者情報を改ざんして身元を偽る手法です。

見慣れた市内局番からの電話のように見せかけ、受信者が電話に出る確率を高めます。

VoIP（インターネット電話）技術を利用することにより、詐欺師は自由に電話番号や発信者IDを変更でき、電話を受けた相手から機密情報を引き出すのを目的としています。

DNSスプーフィング

　
DNSスプーフィング、またはDNSキャッシュポイズニングは、攻撃者がDNSレコードを不正に変更し、インターネットトラフィックを偽のWebサイトに誘導する手法です。

具体的には、攻撃者がDNSサーバーに保存されているIPアドレスを、自分が制御するアドレスに差し替えることにより、正規のサイトに似せた偽サイトにユーザーをリダイレクトさせます。

ARPスプーフィング

　
アドレス解決プロトコル（ARP）は、ネットワーク上の端末が通信相手を特定するためのプロトコルです。

ARPスプーフィング（ARPポイズニング）は、攻撃者がローカルネットワーク内で偽のARPメッセージを送信し、ターゲットのIPアドレスを自身のMACアドレスに関連付ける攻撃手法です。

これにより、攻撃者はターゲット宛のデータを傍受したり、改ざんしたり、場合によっては通信を停止させることが可能になります。

GPSスプーフィング

　
GPSスプーフィングは、偽のGPS信号を送信し、受信者を誤った位置情報で騙す攻撃手法です。

攻撃者は本来の位置を隠し、異なる場所にいるように見せかけます。この手法を利用すれば、車両のGPSを操作し、利用者を誤った場所へ誘導できます。

さらに、規模が大きくなると、船舶や航空機のGPS信号をも傍受可能に。スマートフォンのGPS機能を活用するアプリケーションも、こうした攻撃のターゲットになる危険性が高いでしょう。

顔のスプーフィング

　
顔認証技術は、スマートフォンやノートPCのロック解除に広く利用されていますが、その利用範囲は空港セキュリティや医療、教育、さらにはマーケティングや広告など多岐にわたります。

顔認証のスプーフィング攻撃では、個人のオンラインプロファイルやハッキングされたシステムから不正に取得した生体認証データが悪用されます。

この手法により、攻撃者は本物の認証情報を不正に使用し、アクセス権を得られるのです。

“ ”

スプーフィングの検知方法

スプーフィングの検知方法として、以下の4つの方法が挙げられます。

• ソースの詳細をチェック
• パターンの分析
• デジタル署名を使う
• スペルエラーを探す

ここからは、上記4つをそれぞれ詳しく解説します。

ソースの詳細をチェック

　
常に情報源を確認するのがポイントです。例えば、メールが一見信頼できるものに見えても、送信者のメールアドレスを注意深く確認すると、不審な点が見つかることがあります。

パターンの分析

システムや人間の行動には一定のパターンがあります。予期しないタイミングで送られてきたメッセージや、内容に不整合が見られる場合は、異常な動きとして注意深く確認しましょう。

デジタル署名を使う

デジタル署名は、暗号技術を使ってその正当性を確認します。もしドキュメント、メッセージ、またはソフトウェアに有効な署名がない場合は、警戒しましょう。

スペルエラーを探す

スプーフィングされたメールを見分けるには、送信者の「From」欄のメールアドレスを慎重に確認し、見落としがちなスペルミスを探してください。

スプーフィングの対策方法

スプーフィングの対策方法として、以下の5つの方法が挙げられます。

• 送信中に暗号化
• DNSセキュリティ拡張
• アンチスプーフィングソフトウェアの導入
• 定期的なシステム更新
• 多要素認証の使用

それぞれ詳しく解説します。

送信中に暗号化

　
機密情報を送信する際には、データを暗号化すると、第三者に傍受されても内容が解読できないよう保護可能です。

例えば、ウェブサイトではHTTPの代わりにHTTPSを利用すれば、ユーザーとサイト間の通信が安全に暗号化されます。

DNSセキュリティ拡張

　
DNSセキュリティ拡張は、DNSクエリの返答が正当で信頼できるソースから送られたことを確認することにより、DNSスプーフィングのリスクを軽減します。

DNSSECを採用しているウェブサイトは、デジタル署名を提供し、そのウェブサイトが信頼できるものであることを証明できるでしょう。

アンチスプーフィングソフトウェアの導入

　
特定のセキュリティツールは、偽装されたパケットやメッセージを識別して遮断するように設計されているのが一般的です。

適切に構成されたファイアウォールや侵入検知システムは、この防御をサポートする役割を果たします。

定期的なシステム更新

　
すべてのサイバーセキュリティ対策と同様に、ソフトウェアやハードウェアを定期的にアップデート（パッチ適用）すると、最新のセキュリティ強化を受けられます。

例えば、メールソフトをこまめに更新することにより、新たなメールスプーフィング手法に対する防御力を高められるでしょう。

多要素認証の使用

　
多要素認証を導入すると、攻撃者がユーザーの認証情報を偽造しても、システムにアクセスするためにはさらに別の確認手順を踏まなければなりません。

例えば、パスワード（ユーザーが知っている情報）を入力した後に、ユーザーの電話に送信されたコード（ユーザーが持っている情報）を入力するなどが挙げられます。

まとめ

今回は、不正アクセスや情報を盗み取るサイバー攻撃の一種「スプーフィング」について、その概要と対策方法について詳しく解説しました。

スプーフィングには、主に9つの種類が存在し、それぞれを理解して対策しておかなければ、情報漏洩やネットワークへの不正侵入などのトラブルにもなりかねません。

この記事を参考に、効果的な対策を実施し、スプーフィングでの被害を未然に防ぐことが大切です。

高いセキュリティレベルを保持したい場合は、ぜひ以下の資料からチェックしてみてください。