サポート詐欺がかつての個人向けから企業・自治体・学校を標的とした組織侵入型へと変貌し、被害が急拡大している。大手建設仮設資材販売会社の子会社では約2億5000万円の不正送金被害が報告され、静岡県の公立中学校では約1000万円、高知市の小学校では遠隔操作により児童・保護者の個人情報が閲覧可能な状態になった。犯罪者は二要素認証を突破するのではなく、正規ユーザーの操作を遠隔で監視し、ID・パスワードに加えてワンタイムパスワードまで盗み見て、本人の認証と同時に不正送金を実行する手口を用いている。
サポート詐欺の進化：個人から組織への標的変更
数年前までサポート詐欺は、「ウイルスに感染しました」という偽の警告画面を表示し、電話をかけさせてプリペイドカードを購入させる個人向け詐欺として知られていた。しかし現在、犯罪者は企業や自治体、学校の職員に対して「復旧を支援します」と説明し、遠隔操作ソフトをインストールさせる。そして利用者自身の操作によってパソコンの制御権を取得し、組織のネットワークへ侵入する。かつて数万円の被害だったサポート詐欺は、今や組織内部への侵入口となっている。
二要素認証の盲点：本人を利用する新たな手口
企業ではインターネットバンキングに二要素認証を導入する例が増えているが、多額の不正送金が後を絶たない。その理由は、犯罪者が認証システムを突破しているのではなく、遠隔操作によって利用者のパソコンを監視し、IDやパスワードだけでなくスマートフォンに表示されるワンタイムパスワードまで確認するためだ。利用者が認証操作を行うのとほぼ同時に、本物の銀行サイトで送金処理を実行する。つまり、防御機能を破るのではなく、防御機能を正しく利用している本人を利用しているのである。
教育機関も標的に：学校・自治体で相次ぐ被害
被害は企業だけにとどまらない。静岡県の公立中学校では約1000万円が不正送金され、高知市の小学校では遠隔操作によって児童や保護者の個人情報が閲覧可能な状態となった。さらに高知市では複数の学校で同時期にサポート詐欺の画面が表示されたことも報告されている。偶然とは考えにくく、同じ業務用サイトや教材配信システムなど、学校関係者が日常的に利用する環境を狙った可能性が指摘されている。教育機関には児童生徒や保護者の個人情報が集中しており、犯罪者にとって企業の顧客情報と同じく価値の高い標的となっている。
情報漏洩と詐欺を一連の犯罪として捉える必要性
神戸大学名誉教授の森井昌克氏は、「企業は情報漏洩そのものだけでなく、盗まれた情報がどのような詐欺に利用されるのかという視点を持たなければならない。不正アクセスと詐欺を一連の企業犯罪として捉えて初めて、現在の脅威の全体像が見えてくる」と指摘する。サポート詐欺の急拡大は、サイバー攻撃と詐欺が融合した新しい企業犯罪の象徴であり、組織全体での対策が急務となっている。
