チェック・ポイント・ソフトウェア・テクノロジーズの脅威インテリジェンス部門であるチェック・ポイント・リサーチ（CPR）は5月1日、PDFを悪用したサイバー攻撃について警鐘を鳴らした。その概要は以下とおり。
サイバー攻撃の68%が電子メール経由で配信され、悪意あるメール添付ファイルの22%をPDFが占めている。脅威アクターはセキュリティ対策の仕組みを熟知し、高度な検出回避策を駆使することで、従来のセキュリティベンダーでは検知されず、VirusTotalでの検出数が過去1年間でゼロといった攻撃も観測されている。
CPRが最も頻繁に観測している手法は、PDFに埋め込まれたリンクを利用した攻撃。これらのフィッシングサイトや悪意あるファイルのダウンロードへ誘導するリンクには、多くの場合Amazon、DocuSign、Acrobat Readerなど信頼されたブランドを模倣した画像や短い文章が添えられ、一見無害に見せかける手法が用いられている。
攻撃者はリンク、テキスト、画像のすべての要素を自由に操作できるため、レピュテーションベースや静的シグネチャを用いたセキュリティツールでの検出が困難。また、人間の判断（リンクのクリック）が必要となる点が、サンドボックスや自動検出システムでは対応しづらい要因となり、攻撃者に有利に働いている。
■PDFベースの攻撃に対する防御方法
●常に送信者を確認する：PDFが正規に見えても、送信元のメールアドレスを必ず再確認する。サイバー犯罪者はファイルを信頼させるため有名ブランドや同僚になりすますことがある。
●添付ファイルに注意する：予期せぬPDFが送られてきた場合、特にリンクのクリックやQRコードのスキャン、電話を求められる場合は警戒が必要。
●クリックする前にマウスポインタを上に乗せてみる：PDF内のリンクはクリック前にマウスポインタを乗せてURLを確認する。短縮リンクやBing、LinkedIn、Google AMPなどのリダイレクトサービスには注意が必要。
●セキュアなPDFビューアを使用する：最新のブラウザーやPDFリーダーにはセキュリティが組み込まれている。それらを最新の状態に保ち、旧式のものや信頼性の低いソフトウェアでPDFを開くことは避ける。
●PDFビューアのJavaScriptを無効にする：PDFリーダーは多くの場合JavaScript対応だが、必須の場合を除きJavaScriptを無効にすることで、スクリプトベースの悪用リスクを低減できる。
●システムとセキュリティツールを最新に保つ：OS、ブラウザー、アンチウイルスソフトウェアを定期的に更新する。悪意あるPDFで悪用された脆弱性は多くの場合パッチで修正される。
●不審な兆候を見逃さない：不自然な内容や、表示・表記の異常、または認証情報を求められる場合は警戒する。
関連リンク