このような記事を見つけました。
2020/01/29 05:00
勝村幸博の「今日も誰かが狙われる」
パスワードを盗まずにアカウントを乗っ取る、
新型フィッシングの恐ろしすぎる手口
勝村 幸博＝日経クロステック／日経NETWORK
https://tech.nikkeibp.co.jp/atcl/nxt/column/18/00676/012100037/
著作権の関係で全文転載はしませんし、
私はこの方面にお詳しくない人間ですが、
この辺が重要のようです。
「Office 365のログインページに誘導」
「新手口で攻撃者が送るメールは
HTMLメールで、Office 365の
ログイン（サインイン）ページである「https://login.microsoftonline.com/」
から始まるリンクが埋め込まれている。」
「メールには、あるExcelファイルが
OneDriveで共有されたと書かれている。
Office 365のユーザーなら
それほど違和感を覚えないだろう。」
こういうメールが来たら要注意。
そして……
「Office 365には、URLで指定することで
外部のアプリをOffice 365の特定アカウントに
インストールできる機能がある。」
「引数として外部のアプリが置かれている場所と、
そのアプリに付与する権限を指定すれば、
該当のアカウントでそのアプリを
利用できるようになる。」
「便利な機能ではあるが、
不正なアプリを知らずに
インストールしてしまうと、
該当アカウントに保存されている
ファイルやメールなどを
盗まれる恐れがある。」
ということで、かなり怖いです。
そして……
「一度アクセス権限を与えてしまうと、
ユーザーがパスワードを変更したり、
2要素認証を導入したりしても、
アプリはファイルなどに
アクセスし続けることができる。
これが、パスワードを盗む
フィッシングよりも恐ろしい点である。」
常識を変えないといけないようです。
ではどうすれば良いかというと……
「対策は、よく分からないメッセージが
表示されたらとにかくキャンセルすること。
「OK」や「許可」をクリックしてはいけない。」
「加えて、管理者が許可したアプリ以外は
インストールできないように
機能を制限することも対策として有効」
だそうです。
皆様どうかご注意下さい。
なお、同じ著者の別記事も
紹介されていました↓。
2020/01/15 05:00
勝村幸博の「今日も誰かが狙われる」
「AIセキュリティー」は万全ではない、
過度な期待は禁物と肝に銘じるべき理由
勝村 幸博＝日経 xTECH／日経NETWORK
https://tech.nikkeibp.co.jp/atcl/nxt/column/18/00676/010900036/
