同じ見抜くなら「共通するポイント」を見抜こう

　では、どのように詐欺対策を行えばよいのでしょうか。

　ポイントは、攻撃者＝詐欺師が狙っている対象が「あなた」という人間だということです。そのため、詐欺師が使いがちな手法を知っておくことが重要になります。

　入り口はさまざまですが、多くの場合に共通しているのが「急かす」という心理的攻撃です。もし仕事をしている中で、顔の見えない相手からの指示に「至急」「緊急」といった言葉が含まれていたら――。そこがまさに「おかしいかも？」と気付けるチャンスです。

　実は最近では、その対策も理解しているのか、詐欺師は焦りだけでなく「義務感」や「親切心」にも付け込むようになっています。例えば2019年末に大きな被害を出した「Emotet」では、「請求書の修正依頼」「賞与振込の件」「打ち合わせ日程の件」といった、真面目な人ほど対応しなければならないと思うような件名が使われていました。

　自分が確認しなければ「組織が困る」「仕事が止まる」「トラブルになる」といった心理が狙われるのです。もはや不自然な日本語もなく、これまでの経験だけで見分けることは困難になっています。

　フィッシングにだまされる構図は、もはや単なる間違い探しゲームではありません。むしろ「過去の知識にとらわれ過ぎる」ことによる弊害の方が大きくなっているように思えます。

　自然な日本語、外部に知られているはずのない情報、いつもやりとりしている相手の名前などが使われていると、つい安心してしまうのも無理はありません。

　しかし現在のフィッシングは、そのような情報を事前に取得し、自然な文章で、最大限にあなたを急かして判断力を揺さぶります。そうした脅威が目の前にあることを知らなければ、誰もがだまされる可能性があるのです。

　このコラムを読んだ皆さんなら、この知識が頭の片隅に残るはずです。そして、イレギュラーで、なおかつ急かされる指示がメールや電話で届いたとき、「これ、前に読んだな」と思い出してもらえればと思います。

　そのときは一度深呼吸をして、別のルートで確認を取ってみてください。向こうから電話がかかってきたのであれば、いったん切って、自分が知っている連絡先へ折り返しましょう。メールで「LINEグループを作れ」と指示されたのであれば、電話で確認しましょう。そのような事実確認のルートを持つことが、こうした詐欺への有効な対策になります。

　ただし、それも「これ、前に読んだな」と思い出せなければ、詐欺師の描くシナリオから逃れることはできません。

　詐欺は企業規模を問いません。小規模企業にも容赦なく牙をむきます。たった1回のビジネスメール詐欺によって、企業の現金が根こそぎ奪われる可能性もあります。特に経理や営業担当者は、詐欺の最前線に立たされているはずです。「人間こそが最も脆弱である」という認識の下で、ぜひ詐欺対策を組織全体で考えてみてほしいと思います。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！