ディープフェイクの偽CEOがLastPassを狙うも従業員が回避、その理由は
2024年4月27日（土）17時15分 マイナビニュース
LastPassはこのほど、「Attempted Audio Deepfake Call Targets LastPass Employee」において、ディープフェイクを使用した詐欺未遂事案を経験したとして詳細を伝えた。LastPassはこの戦術が広まっていることを周知し、すべての企業が警戒できるように情報を公開したと説明している。
○LastPassの詐欺未遂事案
LastPassによると、脅威アクターはWhatsAppを使用して最高経営責任者(CEO: Chief Executive Officer)になりすました電話、テキスト、ディープフェイクのボイスメールを従業員に送信したという。メッセージを受け取った従業員は通常の連絡手段とは異なる方法だったことに加え、緊急性を訴える内容であったことからソーシャルエンジニアリング攻撃を疑い、社内のセキュリティチームに報告したという。
LastPassの報告では、この従業員がメッセージの真贋について認識できたかは明らかにされていない。そのため正確なところはわからないが、攻撃を見抜いた理由を連絡手段と緊急性としていることから、メッセージ自体は偽物と確信できなかったものとみられる。
LastPassは「確立され承認された社内コミュニケーションチャネルは重要」と述べており、第3者が利用できる連絡手段以外の方法で社内連絡網を構築し、従業員全員に適切なトレーニングを実施することでディープフェイクを使用した攻撃を回避できる可能性があるとしている。
○企業に求められる対抗策
ディープフェイクは今後、説得力のある音声、画像、動画を生成できるように進化すると予想されており、ソーシャルエンジニアリング攻撃を認識することは難しくなっていく可能性がある。そのため企業や組織にはLastPassと同様に専用の社内連絡網などの対抗策を準備し、従業員に必要なトレーニングを実施して攻撃を回避できるようにすることが望まれている。
○LastPassの詐欺未遂事案
LastPassによると、脅威アクターはWhatsAppを使用して最高経営責任者(CEO: Chief Executive Officer)になりすました電話、テキスト、ディープフェイクのボイスメールを従業員に送信したという。メッセージを受け取った従業員は通常の連絡手段とは異なる方法だったことに加え、緊急性を訴える内容であったことからソーシャルエンジニアリング攻撃を疑い、社内のセキュリティチームに報告したという。
LastPassの報告では、この従業員がメッセージの真贋について認識できたかは明らかにされていない。そのため正確なところはわからないが、攻撃を見抜いた理由を連絡手段と緊急性としていることから、メッセージ自体は偽物と確信できなかったものとみられる。
LastPassは「確立され承認された社内コミュニケーションチャネルは重要」と述べており、第3者が利用できる連絡手段以外の方法で社内連絡網を構築し、従業員全員に適切なトレーニングを実施することでディープフェイクを使用した攻撃を回避できる可能性があるとしている。
○企業に求められる対抗策
ディープフェイクは今後、説得力のある音声、画像、動画を生成できるように進化すると予想されており、ソーシャルエンジニアリング攻撃を認識することは難しくなっていく可能性がある。そのため企業や組織にはLastPassと同様に専用の社内連絡網などの対抗策を準備し、従業員に必要なトレーニングを実施して攻撃を回避できるようにすることが望まれている。
