ここでは、長年にわたって私たちが見てきた人気のあるフィッシング メールの小さなサンプルを紹介します。
これらの例の最新かつ完全な包括的アーカイブを維持することは事実上不可能ですが、フィッシング攻撃の可能性を低くするために、何が世の中にあるのかを常にアップデートしておくことは本当に良いアイデアです。
典型的なフィッシング
過去数年間、オンライン サービス プロバイダは、ユーザーのアカウントで異常または心配な活動を検出すると、ユーザーにメッセージを送り、セキュリティ対策を強化しました。 このような状況下、「Skype」は、「Skype」を「Skype」と呼ぶことにしました。
この偽の Paypal セキュリティ通知では、潜在的なユーザーに対して、アカウントへの「異常なログイン活動」について警告しています。
リンクにマウスオーバーするだけで、認証情報を盗む Web サイトに到達しないよう十分に注意する必要があります。
このメールは、ユーザーを認証情報フィッシングに誘導する代わりに、偽の 1-800 番地に誘導するものです。
感染した添付ファイル
.HTML 添付ファイルの隠れた危険性
悪意のある .HTML 添付ファイルは .JS や .DOC ファイルの添付ファイルほど頻繁に見られませんが、いくつかの理由から望ましいとされています。 まず、.HTML ファイルは一般的に電子メールを媒介とする攻撃と関連付けられていないため、アンチウイルスが検出される可能性は低くなります。 第二に、.HTMLファイルは銀行やその他の金融機関でよく使用されているため、受信箱の中で見慣れたものであることです。
Payloads
フィッシング メールの不正なマクロは、昨年からランサムウェアの配信手段としてますます一般化されています。 これらのドキュメントは、多くの場合、アンチウイルス プログラムを問題なく通過します。 このフィッシングメールには、受信者に切迫感を与えるとともに、以下のスクリーンショットに見られるように、ドキュメントがユーザーに手順を説明するようになっています。
ソーシャル メディア エクスプロイト
不正な Facebook メッセージ
いくつかの Facebook ユーザーは、すでによく知っている他のユーザーから Messenger アカウントにメッセージを受け取りました。 メッセージは 1 つの .SVG (Scaleable Vector Graphic) イメージ ファイルで構成されており、注目すべきは、Facebookのファイル拡張子フィルタをバイパスしていることです。 このファイルをクリックして開いたユーザーは、Youtubeの偽装ページにリダイレクトされ、ページ上の（存在しない）ビデオを見るために必要とされる2つのChrome拡張機能をインストールするよう促されました。
ほとんどのユーザーにとって、2 つの Chrome 拡張機能は「同じ SVG 画像ファイルですべての Facebook 友人にこっそりメッセージするためにブラウザからあなたの Facebook アカウントへのアクセス」を利用したマルウェアが限定的に自己伝播するために使用されていたのでした。「
一部のユーザーの PC では、埋め込まれた Javascript が、感染した PC 上でさまざまな悪意のあるペイロードをダウンロードする長い歴史を持つトロイの木馬ダウンローダー Nemucod をダウンロードし起動させました。
この悪意のあるスクリプトのバージョンに遭遇した不運なユーザーは、PCがLockyランサムウェアによって人質に取られるのを目撃しました。 悪意のある行為者は、そのデータをマイニングして、電信送金やW-2ソーシャルエンジニアリング詐欺、その他多くの独創的な策略など、ビジネスメール侵害攻撃の潜在的な標的を特定するのです。 
この特定の InMail は、偽の Wells Fargo アカウントから発信されているように見えることに留意してください。 提供されたリンクは、かなり典型的な認証フィッシュ (悪意のあるドメインでホストされており、現在は削除されています) につながります。
悪者がより本物らしく見せるために、偽の Wells Fargo プロファイルを設定したように思われます。
同様のフィッシングが、LinkedIn以外のメールアカウントにも配信されました。
このメールは、このメールのフッターに含まれる複数のリンク (「返信」、「興味ありません」、「Wells の LinkedIn プロファイルを見る」) に使われたURLと同様に、LinkedIn を通じて配信されていました。
これらのURLは、悪意のある行為者がLinkedInのメッセージ機能を使用してこのフィッシングを生成し、対象の外部メール アカウントに送信した際にLinkedIn自体によって明らかに自動生成されました (前述の最初のフィッシングでは、彼のInMailボックスではなく、このような方法で行われたのでした)。
CEO 詐欺
CEO詐欺のターゲットとなったKnowBe4顧客の例を紹介します。 この従業員は、最初は応答しましたが、トレーニングを思い出し、代わりにフィッシュ アラート ボタンを使用して電子メールを報告し、詐欺の試みについて IT 部門に警告しました。
電信送金に失敗した従業員は、給料日だと思ったのか、悪者から別のメールを受け取りました。
トップクリックフィッシングメールの主題
KnowBe4では四半期ごとに3種類の主題別にトップクリックフィッシングメールについて報告しています。 これらの結果は、フィッシング警告ボタンをクリックして実際のフィッシング メールを報告した数百万人のユーザーから収集され、当社のチームが結果を分析できるようにしたものです。 KnowBe4では、直近の四半期とそれ以前のすべての四半期の結果を見ることができます。
関連するページです。 フィッシングのテクニック、一般的なフィッシング詐欺、フィッシングとは
関連ページ