executing-phishing-simulation-campaign

フィッシングシミュレーションキャンペーンの実施

使用する場面

• セキュリティ意識向上プログラムの一環として、従業員がフィッシング攻撃にどの程度引っかかるかを測定する場合
• メールセキュリティ制御（セキュアメールゲートウェイ、DMARC、SPF、DKIM）の有効性をテストする場合
• 初期アクセスを獲得するため、レッドチーム演習のソーシャルエンジニアリング要素を実施する場合
• セキュリティ意識向上トレーニングを導入する前に、フィッシングへの引っかかりやすさのベースラインを確立する場合
• 従業員が不審なメールを報告した際に、インシデント対応手順が機能することを検証する場合

使用しないでください。組織の経営陣から明示的な書面による承認を得ていない場合、許可された範囲を超えて実際に認証情報を盗む場合、職務上ではなく個人的な理由で個人を標的にする場合、または心理的被害や法的責任につながる可能性のあるフィッシングメールを送信する場合。

前提条件

• キャンペーンの範囲、対象グループ、エスカレーション手順を明記した、経営幹部による書面での承認
• 送信インフラを許可リストに登録するための IT／セキュリティチームとの調整（または、範囲に応じて制御を回避できるかどうかのテスト）
• 送信ドメイン、SMTP リレー、ランディングページのインフラを設定した GoPhish または同等のフィッシングプラットフォーム
• 配信率を最大化するために SPF、DKIM、DMARC レコードを設定したフィッシングドメイン
• 部門別に整理された、人事部から入手した従業員のメールアドレス一覧
• キャンペーンのタイムラインとエスカレーション手順について説明を受けたインシデント対応チーム

ワークフロー

ステップ 1：キャンペーンの計画と口実の作成

対象組織に関連する脅威に基づいて、現実的なフィッシングシナリオを設計します。

• 口実の選定：現実の攻撃を模したシナリオを選びます。
  • IT サポート：直ちに対応が必要なパスワード有効期限切れの通知
  • 人事部：福利厚生の加入手続き、ポリシーの確認、W-2／税務書類
  • 経営幹部へのなりすまし：CEO／CFO からの、文書の確認を求める緊急の依頼
  • ベンダー／サプライヤー：確認が必要な請求書、配送通知
  • クラウドサービス：Microsoft 365 の共有ドキュメント、Google Drive へのアクセス、Zoom 会議への招待
• 対象者のセグメント分け：従業員を部門、役職、アクセスレベルごとにグループ分けします。重要度の高い対象者（財務、IT 管理者、経営幹部）には、より巧妙な口実を使う場合があります。
• タイミング：営業時間中、できればメールへの反応が最も高い火曜日から木曜日に送信するようスケジュールします。祝日、大規模な人員削減の時期、その他の慎重な対応が必要な時期は避けます。
• 成功指標：キャンペーンの成功を測る指標を定義します。メール開封率、リンククリック率、認証情報の入力率、報告率（フィッシングメールを IT に報告した従業員の割合）

ステップ 2：インフラの設定

フィッシングインフラを設定します。

• ドメイン登録：対象組織のドメインに似たドメイン（タイポスクワッティング、同形異字、またはブランドに近い名称）を登録します。例：target-corp.com、targetcorp-portal.com、targetsupport.net
• SSL 証明書：フィッシングドメイン用の TLS 証明書（Let's Encrypt）を取得し、南京錠アイコンを表示します
• GoPhish の設定：
  • フィッシングドメインを使用して、VPS 上に GoPhish サーバーをセットアップします
  • フィッシングドメインのメールサーバーを使用する SMTP 送信プロファイルを設定します
  • トラッキングピクセルとランディングページへのリンクを含むメールテンプレートを作成します
  • 対象のログインポータルを模した、認証情報を収集するランディングページを作成します
  • 対象者のメールアドレス一覧をインポートし、ユーザーグループを作成します
• メール認証：フィッシングドメインの SPF、DKIM、DMARC レコードを設定し、メール認証チェックに合格して配信率を向上させます
• 配信テスト：管理下にある受信トレイにテストメールを送信し、表示、リンクの追跡、ランディングページの動作を確認します

ステップ 3：キャンペーンの実施

フィッシングキャンペーンを開始します。

• レート制限やスパムフィルターに引っかからないよう、メールを分割して送信します（例：1 時間あたり 50 通）
• GoPhish のダッシュボードをリアルタイムで監視し、配信失敗、バウンス、初期の反応を確認します
• メトリクスを随時記録します：送信したメール数、開封されたメール数（トラッキングピクセルの発火）、クリックされたリンク数、送信された認証情報の数
• IT セキュリティチームまたは SOC がキャンペーンを検知した場合（テストの一環である場合）、検知時刻と対応措置を記録します
• 緊急停止手順を用意します：従業員が動揺したり、キャンペーンが意図しない結果を招いたりした場合は、直ちに一時停止します
• やり取りの大半は最初の 24 時間以内に発生するため、ランディングページを閉じる前にキャンペーンを 48～72 時間実施します

ステップ 4：認証情報の取得とアクセスの実証

承認されている場合は、取得した認証情報を処理して影響を実証します。

• GoPhish で取得した認証情報をすべて確認します。明示的な承認がない限り、実際のシステムで認証情報を試さないでください。
• 完全な悪用が承認されている場合：取得した認証情報を、組織の実際のログインポータル（VPN、OWA、SSO）でテストします
• 正常に侵害されたアカウント、アクセス可能なデータ、MFA の有無を記録します
• MFA によってアクセスがブロックされた場合は、MFA が侵害を防いだことを記録し、MFA の適用を継続するよう推奨します
• 認証情報の送信傾向を特定します：どの部門、役職、所在地が最も影響を受けやすいかを確認します

ステップ 5：分析と報告

キャンペーンの結果を分析し、評価レポートを作成します。

• メトリクス分析：
  • メール配信率：受信トレイに届いたメールの割合
  • 開封率：メールを開封した受信者の割合
  • クリック率：フィッシングリンクをクリックした受信者の割合
  • 送信率：認証情報を送信した受信者の割合
  • 報告率：IT セキュリティにメールを報告した受信者の割合
• 部門別比較：部門ごとの影響の受けやすさを比較し、対象を絞ったトレーニングが必要なグループを特定します
• メールセキュリティの有効性：フィッシングメールがセキュアメールゲートウェイを回避したか、DMARC/SPF によって配信が防止されたか、リンクスキャンツールがフィッシング URL を検知したかを記録します
• 推奨事項：セキュリティ意識向上トレーニングのトピック、技術的な制御の改善、ポリシーの変更など、実行可能な推奨事項を提示します

主な概念

用語	定義
口実	リンクのクリックや認証情報の入力など、望ましい行動を取るよう標的を説得するために用いる、作り上げられたシナリオと社会的背景
認証情報の収集	正規のサービスを模倣した偽のログインページを通じてユーザー名とパスワードを収集すること
GoPhish	メールテンプレート、ランディングページ、標的グループ、キャンペーン追跡を管理するオープンソースのフィッシングシミュレーションプラットフォーム
スピアフィッシング	調査で収集した個人情報を使い、特定の個人を標的とするフィッシング
タイポスクワッティング	文字の置換、追加、または省略によって正規のドメインに見た目を似せたドメインを登録すること
セキュリティ意識向上	ソーシャルエンジニアリングの脅威や適切な報告手順について従業員に教育するためのトレーニングプログラム
DMARC	ドメインベースのメッセージ認証、報告、適合性。メール送信におけるドメインの不正使用を防ぐメール認証プロトコル

ツールとシステム

• GoPhish：キャンペーン管理、メールテンプレート、ランディングページ、詳細な分析機能を提供するオープンソースのフィッシングシミュレーション用フレームワーク
• Evilginx2：リバースプロキシ技術を通じてセッショントークンを取得し、多要素認証を回避できる高度なフィッシングフレームワーク
• King Phisher：二要素認証のテストや位置情報の追跡など、高度な機能を備えたフィッシングキャンペーン用ツールキット
• SET（Social Engineering Toolkit）：フィッシング、認証情報の窃取、ペイロードの配信など、ソーシャルエンジニアリング攻撃のためのフレームワーク

よくあるシナリオ

シナリオ：セキュリティ意識の基準値を測定するための企業向けフィッシングシミュレーション

背景：従業員2,000人の企業で、これまでフィッシングシミュレーションを実施したことがありません。CISOは、新しいセキュリティ意識向上トレーニングプログラムを導入する前に、フィッシングへの脆弱性の基準値を確立したいと考えています。キャンペーンでは、現実的でありながら、過度に巧妙ではない口実を使って全従業員をテストします。

アプローチ：

1. Microsoft 365 のパスワード有効期限を口実にします：「パスワードは24時間後に有効期限が切れます。更新するにはこちらをクリックしてください。」
2. m365-targetcorp.com を登録し、GoPhish を設定して、Microsoft 365 のログインポータルを模したランディングページを作成します
3. 従業員2,000人分のメールアドレスをインポートし、20時間かけて100件ずつ送信するようスケジュールを設定します
4. 72時間後のキャンペーン結果：1,847件に配信（92.4%）、1,243件が開封（67.3%）、487件がクリック（26.4%）、312件が認証情報を入力（16.9%）、23件がIT部門に報告（1.2%）
5. 分析の結果、経理部門（入力率28%）とマーケティング部門（入力率24%）の脆弱性が最も高く、IT部門が最も低い（4%）ことが判明します
6. 脆弱性の高い部門を対象としたトレーニング、フィッシング報告ボタンの導入、四半期ごとのシミュレーション実施を推奨します

落とし穴：

• 従業員の不安や法的問題につながるような、過度に強引または脅迫的な口実を使う
• キャンペーン開始前に人事部門や法務部門と調整せず、従業員との関係に問題が生じるリスクを招く
• すべてのメールを同時に送信し、メールサーバーに過度な負荷をかけたり、一斉送信として検知されたりする
• クリック率と入力率だけに注目し、極めて低い報告率（1.2%）を見落とす

出力形式

## Phishing Simulation Campaign Report

**Campaign Name**: Q4 2025 Baseline Phishing Assessment
**Pretext**: Microsoft 365 Password Expiration Notice
**Campaign Duration**: November 15-18, 2025
**Target Population**: 2,000 employees (all departments)

### Campaign Metrics
| Metric | Count | Rate |
|--------|-------|------|
| Emails Sent | 2,000 | 100% |
| Emails Delivered | 1,847 | 92.4% |
| Emails Opened | 1,243 | 67.3% |
| Links Clicked | 487 | 26.4% |
| Credentials Submitted | 312 | 16.9% |
| Reported to IT | 23 | 1.2% |

### Department Breakdown
| Department | Employees | Clicked | Submitted | Reported |
|------------|-----------|---------|-----------|----------|
| Finance    | 120       | 38.3%   | 28.3%     | 0.8%     |
| Marketing  | 85        | 35.3%   | 24.7%     | 1.2%     |
| Engineering| 300       | 15.0%   | 8.3%      | 3.7%     |
| IT         | 45        | 8.9%    | 4.4%      | 11.1%    |

### Key Findings
1. Baseline credential submission rate of 16.9% exceeds industry average (12%)
2. Report rate of 1.2% indicates employees are not trained to report suspicious emails
3. Finance department is the highest-risk group with 28.3% credential submission rate
4. Email security gateway did not flag the phishing domain despite being registered 48 hours prior

### Recommendations
1. Deploy mandatory security awareness training with emphasis on phishing identification
2. Install a phishing report button in email clients and train all employees on its use
3. Implement DMARC enforcement (p=reject) and enhanced email filtering rules
4. Conduct targeted training for Finance and Marketing departments
5. Schedule quarterly phishing simulations to track improvement