ITに疎い非技術者が標的型メール攻撃訓練サービス『Selphish』を使ってみた
Ⅰ）エグゼクティブサマリー
■この度、株式会社クロスワープは株式会社神戸デジタル・ラボ様と代理店契約を締結することになった。
■神戸デジタル・ラボ様のセキュリティソリューションの一つにASP型標的型メール攻撃訓練サービス『Selphish』（セルフィッシュ）がある。
■『Selphish』の強みは以下の3点である。
①単発ではなくメール送信数による年間チケット制のため、お客様の好きな時に好きなだけ訓練が実施可能。
②最小契約単位はメール100通：￥300,000から。
③ASPサービスのため、セキュリティ会社との調整が不要であり、お客様の任意のタイミングで簡単に訓練が実施可能。
■そこで、一際ITに疎い非技術者であるこの堤が、簡単に標的型メール攻撃ができるかどうかを実際に『Selphish』で試してみることにした。
Ⅱ）はじめに
皆様、おはようございます。情報セキュリティ事業部の堤です。
先月の私の記事に対しても多くのアクセスを頂き、誠にありがとうございました。
深く感謝申し上げます。
さて皆様。早速ですが、今回は告知から始めさせて下さい。
この度弊社は、株式会社神戸デジタル・ラボ様と代理店契約を締結させて頂くことになりました。
株式会社神戸デジタル・ラボ様のHPはこちらになります。
www.kdl.co.jp
この西日本に地盤を持つ神戸デジタル・ラボ様ですが、自社内に開発部門を持っており、なかなかに面白いセキュリティソリューションを開発されています。
※Proactive Defense
www.proactivedefense.jp
こうした魅力的なソリューションの中でも、一際弊社が面白いと感じたのが、ASP型標的型メール攻撃訓練サービス『Selphish』（セルフィッシュ）です。
※ASP型標的型メール攻撃訓練サービス『Selphish』
www.selphish.jp
2017年はWannacryやIoT、自動運転などに話題が持って行かれた感がありましたが、標的型メール攻撃対策は、セキュリティ業界にとっては引き続き重要なドル箱に課題になっている様子。
自治体によっては、あまりにも対策を打ちすぎて、業務に支障が出るレベルにまでなっているところもあるとか。
www.tokyo-np.co.jp
そうしたドル箱ソリューションの市場の中でも、非常に多くの会社が参入しているのが、『標的型メール攻撃訓練サービス』の分野です。
ためしに、”標的型攻撃”、”訓練”、”一覧”でググって見て頂けると、非常に数多くのソリューションが出てきます。
ぶっちゃけた話、どれがどれだか区別がつかない。
当然、神戸デジタル・ラボ様も、既にこの事業には参入済みです。
www.proactivedefense.jp
どのソリューションも似たようなサービスメニューをお客様に提供しています。
訓練の流れも大体共通しており、概ね以下のような流れになっています。
■［一般的な標的型メール攻撃訓練サービスの流れ］
①セキュリティベンダーとお客様と訓練手順のすり合わせを実施。
②第1回目の疑似メール攻撃を実施。
③疑似メール攻撃後に、訓練実施の種明かしを実施。
④第2回目の疑似メール攻撃を実施。
⑤疑似メール攻撃後に、訓練実施の種明かしを実施。
⑥全2回の訓練結果を集計した報告書をセキュリティベンダーが作成し、報告会を実施。
ただ、サービスメニューが共通しているという事は、お客様も共通した不満を抱きやすいという事でもあります。神戸デジタル・ラボ様がこの『Selphish』を開発するにあたってヒアリングしたお客様の不満は、以下のようなものでした。
■［従来の訓練サービスに関するお客様の不満］
●訓練を実施する毎に単発契約でお金がかかるため、訓練回数を増やそうとすると割高になる。
●契約が大人数での契約が前提になっているため、過去の訓練で問題のあった部署だけ安価に訓練を行いたいという要望に答えてくれない。
●訓練サービスを提供するセキュリティ会社との調整が正直ダルい。調整コストが大きい。
こうした不満を解消するために開発されたのが、ASP型標的型メール攻撃訓練サービス『Selphish』です。
神戸デジタル・ラボ様に『Selphish』の強みを聞くと、以下のような回答が返ってきました。
■『Selphish』の強み
①単発ではなくメール送信数による年間チケット制のため、お客様の好きな時に好きなだけ訓練が実施可能。
②最小契約単位はメール100通：￥300,000から。
③ASPサービスのため、セキュリティ会社との調整が不要であり、お客様の任意のタイミングで簡単に訓練が実施可能。
おおっ！見事に既存のサービス群に対してお客様が抱いていた不満が、解消されているようですね！
「これで本年の私の目標は達成やな……」と軽く考えていたところ、今回のブログを書かせて頂くことになりました。
【お題】
・一際ITに疎い非技術者であるこの私が、この『Selphish』を使ってみて、簡単に標的型メール攻撃ができることを実演してみせる。
・実演してみせることで、セキュリティの専門人員がいない企業に対しても、『Selphish』の導入が簡単であるというメッセージを送る。
確かに先日の記事にも書かせて頂きましたが、私、己のITの疎さにについては、多少の自信をもっております。
blog.modd.com
もし、この私が簡単に使いこなせるソリューションであるならば、『Selphish』は、この世界の万人も簡単に使いこなせるソリューションであると言えるでしょう！
それでは、ITに疎い非技術者が『Selphish』を使ってみた、どうか、ご笑覧ください。
Ⅲ）早速登録だ！
さっそく神戸デジタル・ラボ様に『Selphish』のIDの発行を依頼すると、以下のようなメールが来ました。
早速URLをクリックしてメールアドレスやパスワードを入力します。
パスワードが、大文字英数字記号の全てを使って設定する必要があることに気が付かずに、入力を３回ほどミスり、パソコンをひっくり返しそうになった事を除けば、概ね順調に登録が完了しました。
ここは普通の入力画面なので、キャプチャ画像は省略します。
断じてキャプチャ画像を撮り忘れたからではないッ！。
Ⅳ）この後どうしよう？
登録が完了すると、このような画面に移動します。
ようし、この後、
この後、
……どうしよう？
この時、私の頭に浮かんだのは、先週行ったイオンのドコモショップで、最新型のスマートフォンを手に持って途方にくれるお爺さんの姿でした。
わかる、わかるよ、お爺さん！あの時のあなたの気持ちがッ！
不安だよッ！不安だったよねッ？！
今の僕もそうだよッ！
いや。正直ですね。
この世界のエンジニアの皆様は、甘く見ていると思うんですよ。
……我々のITに関する”疎力”（うとりょく）というものを。
我々のようなITに疎い人間に必要なのは、直感的なインターフェースというヤツだけではダメなんですよッ！
我々にはさらにチュートリアルというものが必要なのですッ！
そう、具体的に言うと、登録画面から標的型メール攻撃を実際に行うまでの説明動画ッ！
さらに字幕もつけて、ヘッドホンつけないでも内容がわかるものが望ましいッ！
できればそれをTop画面に貼ってほしいッ！
大事なことなので、もう一度言います。
エンジニアの皆様は、我々のITに関する”疎力”をナメているッ！
Ⅴ）とりあえずやってみる。
とはいえ、「いや、このサービスのターゲットは、お前のようなIT音痴じゃねーし！」という神戸デジタル・ラボ様からの極めて真っ当なツッコミも想定されます。
正直、このブログの編集画面閉じて、早々にネットサーフィンにでも興じたいところではありますが、さすがにここで終わりにするのはあんまりなので、こちらの説明ページを見ながら標的型攻撃メールのやりかたを探索します。
うーん……とりあえず、この「簡易送信テンプレート一覧」というやつの中から、選べばいいみたいですね。
まあ、先日、大企業に対する振り込め詐欺事件もあったことだし、一番右のにしましょう。
（⇒あの件は、標的型攻撃ではなかったですが(；・∀・)）
ぽちっとな。
こんな画面が出てきました。
「CSVインポート形式：送信対象者.csv」とあります。
既にCSVとか言う段階でお腹いっぱいになりますが、フォントの色が変わっているので、とりあえずクリック。
こんなファイルがダウンロードされてきました。
とりあえずここに、今回の生贄訓練の対象者名とメールアドレスを入力するようですね。
エクセルで保存しないとデータが消える可能性があるとの警告があるため、とりあえず名前をつけてエクセル形式で保存します。
チームメンバーの名前とアドレスを入力します。
さすがに個人情報なのでマスキングさせてもらいます。危うく忘れるところだった。
さて、入力したエクセルファイルですが、どうやってアップロードしよう・・・なんか、この「Browse」ってボタンが怪しいので、押してみます。
ブラウザが開きました。
ここからさきほどの入力したエクセルを選べってことでしょうか？
とりあえず選んでみます。
怒られたじゃねーかッ！（怒）
え？いや、ちょっと待ってくださいよ。
マイクロソフトさんの言うとおりにしたら、『Selphish』さんに弾かれる……
あれですか？課長の言うとおりにしたら、部長に怒られるヤツですか？
……なんてことだッ！この世界はかくも理不尽に満ちているッ！
……仕方ないので、もう一回CSVファイルをダウンロードして再入力し、CSVファイルのまま再アップロードします。
できたッ！
それっぽいメール文も記載されております。
あとはこの「設定完了」というボタンを押すと、メールが飛んで行くというわけだな……
Ⅵ）全ての準備は整ったッ！……参るッ！
さっそく打ち込んでみることにします。
ふはははッ！行けぇ！これが私の標的型攻撃だッ！
「設定完了」というボタンを押すと、こんな画面に移動しました。
どうやらこれで完了のようです。
まあ、さすがにチームの皆様は引っかかるわけはなく、見事に放置されていたので、とりあえず自分が引っかかってみて添付ファイルを開いてみることにしました。
あー、ムカつくわ～、なんかムカつくわ～。
なんでしょう。訓練と分かっていても、このちょっとイラッとする感じ。
ああ、あれだ。学校のテストとかで味わったやつだ……
恐らく、この文面をもっと煽る感じに改善していけば、より学習効果が高まりそうですね。
※今回はテンプレートで行いましたが、契約後のメニューでは、メール本文や添付ファイルの内容は自由にカスタマイズ可能とのことです。
なお、何人が開封したかについても、左の『トレーニング一覧』タブにて確認することができます。
さて問題は、この後どうするかだな……
Ⅶ)まとめ
多少の苦戦はしましたが、無事標的型メール攻撃が行えることが確認できました。
今までの内容を踏まえて感想を３点にまとめたいと思います。
■【感想】
●多少苦戦はしたが、確かにITに疎い私でも、簡単に標的型メール攻撃ができた。看板に偽りなし！
●でも苦戦を避けるために説明動画はあったほうがいい。
●訓練終了後に今後どうすればいいかわからないため、訓練終了後に行う事（開封結果を100％にする方法orこんな場合はソリューションを追加したほうがよい等）を記したWebページ等への誘導があったほうがよい。
……結果として、『Selphish』の使用感のレポートというよりは、『Selphish』を拡販するにはこれがあったほうがいいという感じのレポートになってしまった事をお詫び申し上げます。
尚、本レポートを踏まえ、神戸デジタル・ラボ様から回答を頂いた場合には、随時末尾に追記させて頂く所存です。
さて皆様、今回も拙い長文を最後までお読み頂き、誠にありがとうございました。
こちらの『Selphish』ですが、ぜひ試しに使ってみたいということでしたら、下記よりお気軽にお問い合わせ頂けますと幸いでございます。
■お問い合わせ
https://service.crosswarp.com/webmonitor/contact/
こちらからは以上です。
