辻伸弘の「投げます。一石、」

嘘のCAPTCHA画面をきっかけとし、通常と思われる指示を出して、ユーザー自らがマルウェアをインストールするように仕向けるなどの、「クリックフィックス」と呼ばれる攻撃が増えている。「こんな単純な手法に引っかかることはない」とたかをくくっている人はいないだろうか。実は、これは組織に重大な被害をもたらす非常に狡猾な手法だ。事例を織り交ぜて、クリックフィックスの怖さを解説する。

VPN機器などの脆弱性を突くのではなく、堂々と正面突破してくるサイバー攻撃の脅威が高まっている。闇市場で安価に調達できる「インフォスティーラー」を使い、攻撃者はユーザーの認証・認可情報を容易に窃取して侵入する。どんな企業であっても、このインフォスティーラーを正しく理解し、正しく恐れることが必須になっている。

アタックサーフェスマネジメント（ASM）についての誤解が広がっている。インターネットに接しているものだけがASMではないし、「ASMソリューション」を導入しさえすればいいということでもない。誤解に基づく対策は、重大なリスクにつながる隙を生み出す。

セキュリティリサーチャー辻伸弘氏が、サイバーセキュリティの世界におけるさまざまな“常識”や思い込みに、次々と一石を投じる新連載。第1回は、辻氏のキャリアの原点でもあるペネトレーションテストにつき、身を切る思いで問題を提起する。