【要約】[CIS Control v8.1実践ガイド] 第1回：【14.2】「怪しいメール」はもう古い？進化するソーシャルエンジニアリングの正体と対策 [Qiita_Trend] | Summary by TechDistill
> Source: Qiita_Trend
Execute Primary Source
// Problem
組織のセキュリティにおいて、人間は最大の脆弱性である。攻撃者はシステムのパッチ適用が困難な人間の心理を突く。従来の「不自然な日本語を見抜く」手法は、AIの普及により通用しなくなっている。具体的には以下の問題が発生している。
- ・AIによる、誤字脱字のない完璧な日本語を用いた偽装メール。
- ・既存のメールスレッドに割り込むスレッドハイジャック。
- ・セキュリティソフトの検知を回避するQRコード詐欺（クィッシング）。
- ・役員を装い不正送金等を狙うビジネスメール詐欺（BEC）。
// Approach
従業員が攻撃を検知し、組織の被害を最小化するための実践的な行動指針を提示している。技術的な確認と、心理的な違和感の察知を組み合わせる手法を推奨している。
- ・メールアドレスの微細な誤字（ドメインの不一致等）の確認。
- ・連絡手段や手順の不自然さ（急な連絡手段の変更等）の察知。
- ・SPF/DKIM/DMARC等のメール認証プロトコルの確認。
- ・メール以外の手段（電話、対面、チャット）による本人確認の徹底。
// Result
従業員が最新の攻撃手法を正しく理解することで、組織全体の防御力を向上させる。個人の判断ミスによるインシデントを防ぐための具体的な行動指針が示されている。
- ・「自分は騙されない」という過信を排除し、警戒心を醸成。
- ・不審な際の迷わない報告体制（情シスへの報告）の構築。
- ・技術的な検知をすり抜ける攻撃に対する、人間側の検知能力の向上。
Senior Engineer Insight
> セキュリティ対策を技術レイヤーだけで完結させることの限界を突いた内容だ。AIによる言語障壁の消失や、モバイル端末を介したクィッシングなど、従来の境界防御を無効化する手法が現実的になっている。運用面では、従業員の「報告」をいかに低コストかつ心理的負担なく行うかが鍵となる。技術的な検知（DMARC等）と、人間による多要素確認（別ルートでの連絡）を組み合わせた多層防御の考え方は、実戦において極めて重要である。