ホエーリングとは

この記事は約 2 分で読めます

ホエーリング (Whaling) とは、企業の経営層や役員など、組織内で高い権限を持つ人物を標的にしたフィッシング攻撃です。「大物 (whale) を狙う」ことからこの名前がつきました。一般的なフィッシングよりも入念に準備され、標的の業務内容や人間関係を調査した上で、極めて説得力のある偽メールが送られます。

現場での使用例

例えば、取引先や自社の CEO を装ったメールが、経理担当者に数千万円規模の緊急送金を指示するホエーリング攻撃が考えられます。このとき、送金の直前にメール以外の経路 (電話や対面) で本人に確認するルールが機能していれば、被害を未然に防げる可能性が高まります。

ホエーリングの手口

取引先の CEO を装った送金依頼、弁護士を装った機密文書の要求、税務当局を装った情報提供の要請などが典型的な手口です。経営層は多忙なため、メールの真偽を十分に確認せずに対応してしまうことがあります。 FBI のインターネット犯罪苦情センター (IC3) の年次報告書によると、 BEC (ビジネスメール詐欺) の被害総額は 2024 年に年間約 27.7 億ドルにのぼり、 1 件あたりの被害額は数千万円から数億円に及ぶケースもあります。音声合成技術で経営者の声を模倣し、電話で送金を急がせる手口も知られています。

スピアフィッシングとの違い

スピアフィッシングが特定の個人や組織を狙う標的型攻撃の総称であるのに対し、ホエーリングはその中でも特に経営層や高い決裁権限を持つ人物に絞った攻撃です。スピアフィッシングではマルウェアの添付やログイン情報の窃取が主な目的ですが、ホエーリングでは直接的な送金指示や機密情報の提供を求めるケースが多く、 1 件あたりの被害額が桁違いに大きくなります。ソーシャルエンジニアリング対策の中でも最優先で取り組むべき領域です。

対策

経営層のアカウントには特に強力なランダムパスワードを設定し、多要素認証を必ず有効にしましょう。送金や機密情報の提供は、メール以外の経路 (電話、対面) でも確認するルールを設けることが重要です。経営層向けのセキュリティ研修も効果的で、実際の攻撃メールを模した訓練を定期的に実施すると、不審なメールを見抜く力を養えます。フィッシング対策の基本も合わせて確認しましょう。