昨年、大手建設仮設資材販売会社の子会社が、サポート詐欺をきっかけに約2億5000万円を不正送金される事件が報じられた。「ウイルス感染を復旧する」という一見ありふれた詐欺が、企業の資金を一瞬で奪うまでに進化したのである。
サイバー攻撃の新たな脅威
サイバー攻撃というと、ランサムウェアや高度なハッキングを思い浮かべる人が多い。しかし近年、企業が受ける被害の多くは、人をだますことから始まっている。神戸大学名誉教授の森井昌克氏は「巧妙すぎる罠の裏側」と警鐘を鳴らす。
しかも、その標的は大企業だけではない。中小企業も狙われている。昨年のアサヒグループホールディングスやアスクルへのサイバー攻撃では、商品の供給やサービスに影響が及んだ。しかし、本当に大きな損失を被ったのは企業自身である。
システム停止による営業損失、復旧費用、顧客対応、ブランド価値の低下など、その影響は長期間続く。サイバー攻撃はもはやIT部門だけの問題ではなく、企業経営そのものを揺るがすリスクとなっている。
企業を狙う詐欺、手口は「メール」だけではない
企業を脅かしているのはサイバー攻撃だけではない。近年急速に存在感を増しているのが、企業を狙った詐欺である。従来、商取引を悪用した詐欺は存在した。しかし現在増えているのは、企業のIT化やDXを逆手に取る犯罪だ。代表例がビジネスメール詐欺（BEC）である。
BECは、取引先や経営者を装い、送金を促す手口だ。しかし、最近ではサポート詐欺が急拡大している。サポート詐欺は、パソコンにウイルス感染の偽警告を表示し、サポート費用として金銭を支払わせるものだが、企業向けに進化し、遠隔操作で不正送金を行うケースが増えている。
情報を盗む→漏洩情報を使ってだます→送金を促す
詐欺の手口は三段階に分かれる。第一段階は情報を盗むこと。フィッシングメールやマルウェアで企業の内部情報を収集する。第二段階は漏洩情報を使ってだますこと。得た情報を基に、取引先や役員になりすまし、信頼させる。第三段階は送金を促すこと。最終的に銀行口座への送金を指示し、資金を奪う。
このプロセスは、大企業だけでなく学校や自治体にも及んでいる。教育機関や地方公共団体はセキュリティ対策が遅れがちで、格好の標的となっている。実際、複数の自治体でサポート詐欺による被害が報告されている。
本当に必要なのは「知識」より「理解」である
森井名誉教授は「知識だけでは防げない。詐欺の手口を理解し、組織全体で対策を取ることが重要だ」と指摘する。具体的には、従業員への定期的な訓練、不審なメールや電話の報告体制の整備、送金時の二重確認の徹底などが求められる。
企業向け詐欺は年々巧妙化しており、被害額は億単位に上る。サポート詐欺の猛威は今後も続くと見られ、学校や自治体を含む全ての組織が警戒を強める必要がある。
