納税シーズンとサイバーセキュリティ: 多くのサイバー犯罪者が求めるもの、標的にする対象に、あなたは該当しますか?

Microsoft 脅威インテリジェンスは、2024 年 1 月末に行われた、雇用主から提供された税務関連文書を装ったキャンペーンを含む、納税シーズンのフィッシング活動を既に確認しています。

以下の図は、(1) フィッシング メールのルアー、(2) 悪意のある Web サイト、(3) このキャンペーンで使用された 2 つの悪意のある実行ファイル (マルウェア) を示しています。

その他の攻撃活動において Microsoft は、脅威アクターがフィッシング メールで合法的なサードパーティの連邦納税処理機関の Web サイトから取得した画像を使用し、説得力があるように見せていることを確認しています。

このようなメールは合法的に見えますが、納税者は、IRS のような公的機関がメール、テキスト、電話で確定申告や納税に関する連絡をすることはないことに注意する必要があります。

まれに、サイバー犯罪者が盗んだ情報を使って還付金詐欺を行うことがあります。この特殊な手口では、犯罪者はターゲットの名前で確定申告を行い、還付金を請求します。¹しかし、IRS のセーフガードを考えると、この手口が成功する確率は低いです。より可能性が高いのは、納税の時期にあなたの情報にアクセスしたサイバー犯罪者が、1 年中いつでもやるようなこと、つまり、その情報を収益化する方法を探し出すことです。その中には、あなた名義のクレジット カードを作ったり、データやアクセス権を他のサイバー犯罪者に売ったり、あなたの銀行口座に直接アクセスして送金を開始したり、オンラインで買い物をしたりすることも含まれます。

以下では、(1) フィッシング メールの手口と、(2) 本物の第三者処理機関のサイトを紹介します。

脅威アクターが使うルアーの手口は組織によってさまざまですが、フィッシング メールには共通の特徴があります。

アカウントへの攻撃が成功する可能性を減らしたい場合は、MFA を有効にしましょう。多要素認証はその名の通り、2 つ以上の認証要素を必要とします。

MFA を有効にすれば、たとえ攻撃者があなたのユーザー名とパスワードを入手したとしても、あなたのアカウントや個人情報にアクセスすることはできなくなります。パスワードを知っているだけでは (あるいはクラックされただけでは) システムへのアクセスを得ることはできないため、複数の認証要素を侵害することは、攻撃者にとって非常に大きな挑戦となります。MFA を有効にすることで、アカウントへの攻撃を 99.9% 防ぐことができます。⁴