こんにちは、スピーディア技術満足室です。
 
「取引先を装ったメールのリンクを、うっかりクリックしそうになった」「社内で不審なメールについての注意喚起が最近増えている気がする」——そんな経験はありませんか。フィッシング詐欺は年々巧妙になっていて、以前のような「いかにも怪しい日本語のメール」だけではなく、一見しただけでは見分けがつかないものも増えています。
 
今回は、フィッシング詐欺の基本的な仕組みから、最近増えている手口の傾向、そして社内でどのように教育・啓発を進めていけばよいかを、できるだけ具体的にお伝えしていきます。情報システム部門の方はもちろん、社内研修の担当をされている方にも参考にしていただける内容になっていると思います。
 
【そもそもフィッシング詐欺とは？】

フィッシング詐欺とは、金融機関や有名企業、取引先などを装ったメールやSMS、Webサイトを使って、IDやパスワード、クレジットカード番号といった重要な情報をだまし取る手口のことです。「釣り（fishing）」になぞらえて名付けられたともいわれていて、餌となる偽のメッセージで受信者の警戒心を緩め、偽サイトへ誘導して情報を入力させる、という流れが基本になります。
 
似た言葉に「スミッシング（SMSを使ったフィッシング）」や「ビジネスメール詐欺（BEC）」といったものもありますが、いずれも「本物になりすまして信用させる」という点は共通しています。つまり、技術的な脆弱性を突く攻撃というよりは、人の心理的な隙を突く攻撃だと考えると理解しやすいかもしれません。高速道路にたとえるなら、頑丈なガードレール（セキュリティソフトやファイアウォール）をどれだけ強化しても、運転手（従業員）自身が誘導看板を信じて脇道に入ってしまえば、事故は防げないというイメージです。
 
 
【最近増えているフィッシング詐欺の手口】

■ なりすましの精度が上がっている
以前のフィッシングメールは、不自然な日本語や明らかに怪しいロゴの崩れなどで見分けがつくことが多かったのですが、最近は本物とほとんど見分けがつかないメールが増えています。取引先や上司の名前を騙り、実在する案件名や過去のやり取りに触れる形で、緊急性を演出してくるケースも珍しくありません。「至急ご確認ください」「本日中にご対応をお願いします」といった時間的なプレッシャーをかける文面は、依然として多く使われている手口です。
 
■ QRコードを使った手口（クイッシング）
メール本文にリンクを貼るのではなく、QRコードを画像として添付し、スマートフォンで読み取らせる手口も増えています。QRコードはURLの文字列がそのまま見えないため、従来型のメールフィルタでは検知しづらい場合があり、かつ受信者もスマートフォン側で開くため、会社支給の端末とは異なるセキュリティ対策しか効いていないケースがある、という点が厄介なところです。
 
■ 多要素認証を回避する手口
多要素認証（パスワードに加えて、スマートフォンのアプリなどで追加の確認を行う仕組み）を導入している企業も増えていますが、それを逆手に取った手口も登場しています。偽サイトに入力させたIDとパスワードをリアルタイムで本物のログイン画面に転送し、届いた認証コードまで一緒に盗み取ってしまう「AiTM（Adversary-in-the-Middle、中間者型）フィッシング」と呼ばれる手法です。多要素認証があるから安心、とは言い切れなくなってきているのが正直なところです。
 
■ 取引先の実在するメールアカウントが乗っ取られるケース
攻撃者が偽のドメインを用意するのではなく、実際に取引先のメールアカウントを乗っ取り、そこから請求書の振込先変更などを装って連絡してくるケースもあります。この場合、送信元アドレスそのものは本物なので、従来の「差出人アドレスを確認する」という対策だけでは見抜けません。
 
 
【社員教育、どこから手をつければいい？段階的なアプローチ】

こうした手口の変化を踏まえると、対策も一段階では不十分で、いくつかの段階を踏んで進めていくのが現実的です。
 
■ ステップ1：基本的な見分け方を全員に周知する

まずは基礎固めとして、送信元のドメインをよく確認する、リンク先のURLをクリック前にマウスオーバーで確認する、といった基本動作を全員が身につけることが土台になります。とはいえ、先ほど触れたように「本物のアドレスから届く」ケースもあるため、アドレスの確認だけに頼るのではなく、「普段と違う依頼内容や、急かす文面には一度立ち止まる」という姿勢を合わせて伝えることが大切です。金額の変更や振込先の変更といった重要な依頼については、メール以外の手段（電話や社内チャットなど）で必ず本人確認を取る、というルールを決めておくと安心感が違います。
 
■ ステップ2：疑似フィッシング訓練で実践力をつける
知識として知っているのと、実際に判断できるのとでは大きな差があります。そこで有効なのが、実際に近い形の疑似フィッシングメールを社内向けに送り、開封率やクリック率を測定する訓練です。頻度に決まった正解はありませんが、目安として月に1回程度から始めてみて、クリックしてしまった社員には叱責するのではなく、その場でフォローアップの説明を表示する仕組みにすると、学びの機会として前向きに捉えてもらいやすくなります。回数を重ねるごとにクリック率が下がっていく様子が数字で見えると、教育の効果を経営層にも説明しやすくなるはずです。
 
■ ステップ3：報告しやすい仕組みと技術的な対策を組み合わせる
どれだけ教育を徹底しても、100%見抜くことは難しいものです。だからこそ大切なのが「怪しいと感じたら、気軽に報告できる仕組み」を整えることです。「これくらいで報告していいのか」とためらわせない雰囲気づくりや、専用の報告窓口・ボタンを用意しておくことが、被害の早期発見につながります。あわせて、メールの送信ドメイン認証（SPF・DKIM・DMARCといった技術）の導入や、URLフィルタリング、多要素認証の適用範囲拡大といった技術的な対策も並行して進めることで、人の注意力に頼りきらない体制ができあがっていきます。
 
 
【まとめ】
フィッシング詐欺は、なりすましの精度向上やQRコードの悪用、多要素認証を回避する手口など、年々巧妙さを増しています。取引先の実在するアカウントが乗っ取られるケースもあり、「送信元を確認すれば大丈夫」とは言い切れない状況になってきました。
 
だからこそ、基本的な見分け方の周知から始まり、疑似訓練で実践力を養い、報告しやすい仕組みと技術的な対策を組み合わせていく、という段階的な取り組みが重要になってきます。一度に完璧な体制を目指すのではなく、できるところから少しずつ整えていく意識で、社内の情報セキュリティ意識を高めていってもらえればと思います。

この記事が、社内でのフィッシング詐欺対策や社員教育を見直すきっかけの参考になれば幸いです。