2要素認証を回避するフィッシング攻撃に関する警告

[広告_1]

2要素認証を回避するフィッシング攻撃に関する警告 — 二要素認証を回避するフィッシング攻撃はますます巧妙化している。写真：カスペルスキー

新しい形態のフィッシング攻撃が増加

二要素認証は、サイバーセキュリティにおける標準的なセキュリティ機能となっています。二要素認証では、ユーザーは2つ目の認証手順、つまり通常はテキストメッセージ、メール、または認証アプリ経由で送信されるワンタイムパスワード（OTP）を使用して本人確認を行う必要があります。

この追加のセキュリティレイヤーは、パスワードが盗まれた場合でもユーザーのアカウントを保護することを目的としています。しかし、詐欺師は巧妙な手口を使ってユーザーを騙し、これらのワンタイムパスワード（OTP）を開示させ、OTPボットを介して2FA保護を回避しています。

OTPボットは、ソーシャルエンジニアリング攻撃を通じてOTPコードを傍受するために詐欺師が使用する高度なツールです。攻撃者は、フィッシングやデータの脆弱性を悪用した情報窃取などの手法を用いて、被害者のログイン認証情報を盗み出そうとすることがよくあります。

次に、攻撃者は被害者のアカウントにログインし、OTPコードを被害者の携帯電話に送信します。次に、OTPボットは信頼できる組織の従業員を装って被害者に自動的に電話をかけ、事前にプログラムされた会話スクリプトを使用して被害者にOTPコードを開示するよう仕向けます。最終的に、攻撃者はボットを通じてOTPコードを受け取り、それを利用して被害者のアカウントに不正アクセスします。

詐欺師は、被害者がテキストメッセージよりも音声通話を好む傾向があります。音声通話の方が反応が早い傾向があるためです。そのため、OTPボットは人間の通話の口調や緊急性を模倣することで、信頼感と説得力を生み出します。

OTPボットを使用するには、詐欺師はまず被害者のログイン情報を盗む必要があります。多くの場合、詐欺師は銀行、メールサービス、その他のオンラインアカウントの正規のログインページと全く同じように見えるフィッシングサイトを利用します。被害者がユーザー名とパスワードを入力すると、詐欺師はこれらの情報を瞬時に（リアルタイムで）自動的に収集します。