所属組織の要請と電話で事前説明、巧妙なフィッシング攻撃に警戒を

今回の問題を受け、Sansanでは利用者に対してログインパスワードを尋ねることはないとし、不審な電話やメールに注意するよう呼びかけるとともに、利用者に対して2要素認証の設定や、アクセス状況を確認するログのダウンロードを促進している。

またサービスの保護にあたり、ウェブアプリケーションファイアウォール（WAF）やEDRを活用。ログイン状況についても監視を行っており、不審なログインに対してロックするしくみなどを導入しているという。

従来のメールにくわえ、SMSを用いた「スミッシング」や音声を用いた「ヴィッシング（ボイスフィッシング）」など、フィッシングの攻撃手法も多様化し、ソーシャルエンジニアリングの手口がより巧妙化している。

今回確認されたのは「名刺管理サービス」の利用者を狙ったものだが、他オンラインサービスに対しても同様の手口でフィッシング攻撃が展開されるおそれもあり、警戒が必要となる。

（Security NEXT - 2023/04/06 ）ツイート