「えらい人ほど狙われる」は本当だった ～ NICT が実際に届いたフィッシングメール分析、役職有無で件数 約 3 倍差

　国立研究開発法人情報通信研究機構（NICT）は7月12日、フィッシングメールのターゲットの傾向を分析した結果をNICTER Blogで発表した。

　著名な人や役職のある人ほど機密情報を保有している可能性が高く、攻撃の対象となりやすいと言われているが、その傾向は本当にあるのか、同ブログ記事では、2022年3月28日から5月1日に実際にNICT職員に届いたフィッシングメールを集計し、攻撃対象となった職員の役職有無や勤務年数別に分けて受信件数を分析している。

　NICT内での役職有無による一人当たりのフィッシングメールの受信数を調査したところ、役職有りは期間中に約300件/人のフィッシングメールを受信したが、役職無しは約100件/人で、他の期間を見ても傾向は変わらず、役職有無で一人当たりのフィッシングメールの受信数に約3倍の差があることが判明した。

　また、勤務年数による一人当たりのフィッシングメール受信件数を調査したところ、最も件数が多かった4月11日から17日の期間で、勤務年数が5年未満と6年から10年以下のグループでは約40件/人のフィッシングメールを受信していたが、勤務年数が11年から15年以下と16年から20年以下のグループでは約65件/人、勤務年数が21年以上のグループは100件/人となり、勤務年数が長いほどフィッシングメールを受信する件数が多いことを確認している。

　自身の情報の漏えい有無を確認できる「Have I Been Pwned?」で、調査期間中にフィッシングメールを多く受信したメールアドレスと受信数が少なかったメールアドレスを照会したところ、最もフィッシングメールを受信した（1,880件）メールアドレスは、アカウントが漏えいしていた事実を確認したが、役職が無くアカウントの漏えいも確認できなかったユーザでも1,585件と多くのフィッシングメールを受信しており、また、アカウントの漏えいが確認されたメールアドレスでも6件しかフィッシングメールを受信していなかった場合もあり、アカウントの漏えいが必ずしもフィッシングの攻撃対象に繋がらないことが判明した。