昨年、アサヒグループホールディングスやアスクルへの大規模なサイバー攻撃は、企業活動だけでなく市民生活にも大きな影響を及ぼした。サイバー攻撃は情報システム部門だけの問題ではなく、企業経営そのものを左右する重大な経営リスクとなったのである。しかし、こうした大企業への攻撃の陰で、同じように深刻な被害を受けているのが中小企業である。サプライチェーンの一翼を担う中小企業が攻撃を受ければ、自社だけでなく取引先や供給先にも被害が波及し、復旧や経営再建は極めて困難になる。

 

経済産業省はこれまでも「SECURITY ACTION」や「中小企業の情報セキュリティ対策ガイドライン」を通じて対策を推進してきた。しかし、自己宣言に依存する仕組みでは十分な信頼性を担保できず、新たにSCS評価制度が導入された。これは企業の格付けではなく、一定水準のセキュリティ対策を第三者が保証する制度であり、従来のSECURITY ACTION★2を発展させた★3、さらに高度な★4という評価基準が設けられている。サプライチェーン全体の安全性を高めるためにも、中小企業の対策強化は急務である。

 

一方で、中小企業を取り巻く新たな経営リスクとして浮上しているのが「詐欺」である。従来から商取引を悪用した詐欺は存在したが、近年はDXや業務のIT化を逆手に取った手口が急増している。その代表例がビジネスメール詐欺（BEC）である。経営者や取引先になりすましたメールで送金先を変更させ、不正送金を行わせる手法で、2017年には日本航空（JAL）が約3億8千万円をだまし取られた事件が社会に衝撃を与えた。十分知られた手口であるにもかかわらず、今年4月には「はてな」が約11億円を失う、BECではないかと思われる被害を受けた。多くの企業では被害が公表されないため、実態は報道される件数を大きく上回ると考えられる。

 

さらに近年は、銀行を装った自動音声で経理担当者を誘導し、偽サイトへログインさせる「ボイスフィッシング」も増加している。攻撃者はリアルタイムで正規サイトにもアクセスし、被害者に表示されたワンタイムパスワードを入力させることで、二要素認証さえ突破してしまう。

 

昨年末頃からは、社長を名乗って「LINEグループを作成してほしい」と依頼する、いわゆるCEO詐欺も国内で目立つようになった。LINE利用者が1億人を超える日本ならではの手口であり、一度LINEグループを作成すると、利用者自身が詐欺師を「社長本人」と認証した状態になってしまう。その後の送金指示も疑われにくい。

 

これらの詐欺に共通するのは、事前に企業や役員、取引先の情報を詳細に収集している点である。その情報は別の攻撃グループが不正アクセスによって盗み出し、ダークウェブで売買されたものが利用されている可能性が高い。つまり、現在の詐欺は不正アクセスと密接に結び付いた犯罪へと進化しているのである。

 

そして、近年特に深刻なのがサポート詐欺である。数年前までは高齢者を対象に、偽のウイルス警告画面を表示し、電話をかけさせて数万円分の電子マネーを購入させる手口が中心であった。しかし現在は企業や自治体が標的となり、「パソコンを修復する」と称して遠隔操作ソフトを導入させる手口へと変化している。

 

遠隔操作を許可すると、攻撃者は利用者の操作をリアルタイムで監視できる。銀行へのログイン情報やワンタイムパスワードも取得可能となり、利用者が気付かないうちに攻撃者側の端末から正規サイトへアクセスして不正送金を実行できる。昨年11月には建設仮設資材販売会社の子会社が約2億5千万円をだまし取られたほか、静岡県の中学校では約1,000万円、高知市では複数の小学校がサポート詐欺の標的となり、一部では児童や保護者の個人情報も流出した。

 

なぜ、このような詐欺に企業がだまされるのだろうか。第一に、多くの人はパソコンを操作できても、その操作の意味を理解していない。「許可」「画面共有」「遠隔サポート」が端末の支配権を相手に渡す行為であることを知らないのである。第二に、仕事への責任感が強いほど、「自分の操作で業務を止めたくない」という心理が働く。詐欺師はそこへ「今すぐ対応しなければ危険だ」と畳みかけ、冷静な判断力を奪っていく。

 

したがって対策は、情報システム担当者だけでは不十分である。すべての職員が「自分も被害者になり得る」と認識し、警告画面の電話番号へ連絡しない、相手に指示されても遠隔操作ソフトを導入しない、送金端末で異常が起きた際は必ず組織内で確認するという基本行動を徹底しなければならない。さらに注意喚起だけではなく、パソコンの基本原理や遠隔操作の危険性を理解する教育を継続的に実施することが重要である。サポート詐欺は「ITに弱い人」が被害に遭う犯罪ではない。仕事に真剣で責任感の強い人ほど、その心理につけ込まれる時代になっているのである。