# オープニング #湿気対策のひと工夫 どうもー。セキュリティチェッキーの松野です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は湿気対策の一工夫に関する話なんですけども そうですね、実はこんな話なんですけども、僕自身ですね、髪質っていうんですかね、髪型がですね、割とクルクルっていうんですかね、天然パーマが入っております。 略してテンパーということで、昔からですね、雨が降ったりとか、湿気が高い時期になるとですね、完全に髪がですね、大爆発を起こすと、毛先がどうやってもですね、洗わぬ方向に行ってしまうというところがあったりします。 最近ですと、在宅勤務もありますので、その期間はですね、雨が降ったり、湿気が高い日はですね、髪の毛が前に垂れてこないように、後ろにぷっとまとめてしまうというようなことでですね、事なきを得ているというところがあります。 ただですね、近くのスーパーとかコンビニに行ってですね、なんかちょっと周りの視点を感じるなというとですね、その髪の毛つけっぱなしというようなですね、インシデントが発生していたりとかするので、ちょっと気をつけなければいけないなと思っているんですけども、湿気ね、あまり好きな方いらっしゃらないなと思うんですけども、 ここはですね、シンプルにエアコンのですね、ドライ機能を使うというのがいいんじゃないかなと思っています。やはり家で仕事をされている方は限定になってしまうと思うんですけども、やっぱりね、この労働環境のね、改善というかですね、健全な状態に保つことは生産性にも影響しますので、ドライ機能を使いつつですね、 ちょっと気温が下がりがちにもなりますので、ぜひですね、体調も崩さないようにご調整をいただければと思います。 ということで、今回は、企業内の薬職員を装った巧妙な偽の送金指示により、多額の資金が流出してしまった事件について取り上げております。 この放送を通じて、リスナーの皆さんは、攻撃者がどのように社内の人間を信じ込ませるのかについて、理解を深めていただければと思います。 それではどうぞ。 # ジェリービーンズグループに役職員を装った不正な送金指示、被害対象額は約4,500万円 ジェリービーンズグループに薬職員を装った不正な送金指示 被害対象額は約4500万円 株式会社ジェリービーンズグループは6月11日不正な送金指示に起因する資金流出について発表した こちらの記事を簡単に解説お願いできますでしょうか はいあるアパレル関連企業で発生した偽の送金指示による資金流出のインシデントですね 6月3日にこの企業の薬職員を装った第三者から不正な送金 指示があり担当者がその指示に従って会社の口座から外部の口座へ約4500万円を 振り込んでしまいました その後指示内容におかしい点があることに気づき事実確認を行った結果 不正行為の可能性が高いことが判明したというのがことの天末です 初動対応として同社はすぐに金融機関へ資金の組み戻しを依頼し 警察署にも相談を行っています 今後は捜査に協力しつつ外部の専門家を交えて詳しい原因究明と再発防止策の策定 を進めていくと発表しています 薬職員を装った不正な送金指示というのは具体的にどのような手口で行われるのでしょうか はいこれは一般的にビジネスメール詐欺と呼ばれる手口です 攻撃者は事前に標的となる企業のメールシステムに侵入したり 経営層や取引先のメールアドレスに極めてよく似た偽のアドレスを用意したりします そして社長や役員などの名前を語り至急の国費案件や未払いの請求があるなどと偽って 財務の担当者に直接メールを送ります 担当者は上司や経営トップからの緊急の指示だと思い込んでしまい 通常の確認手順を省略して急いで指定された講座に振り込んでしまうという心理的な隙を つく攻撃です 振り込んだ後に指示の疑義に気づいたとのことですが通常はどのように不正に気づくの はい振り込みが完了した後に本来送金されるべきだった正規の取引先から入金の 最速が来て発覚するケースが非常に多いです また今回のように送金手続の直後に担当者が冷静になってメールの文面や送信元の アドレスを再確認し違和感を覚えて別の連絡手段でその役職員本人に直接確認した 指示を出していないことが判明して気づくこともあります ただ気づいた時点ですでに資金が海外の講座などに転送されてしまっていることが多く資金の 回収が非常に困難になるのがこの手口の恐ろしいところです こうした人間の心理をつく詐欺を防ぐためにはどのような対策が有効になるのでしょうか はい最も重要なのは送金業務における承認プロセスの厳格化です 例えば一定額以上の送金を行う際にはメールだけの指示で動くのではなく必ず電話や 対面あるいは社内のチャットツールなど別の通信手段を用いて支持者本人に直接確認 を取るというルールを決定することが挙げられます またシステム面での対策として外部からのメールには警告マークを表示させたり 多要素認証を導入してメールアカウントの乗っ取り自体を防ぐことも根本的な対策として非常に 有効に機能します 被害額が確定していない段階で発表されていますがこのような迅速な情報公開にはどのような 意味がありますか はい上昇企業などの場合投資家やステークホルダーに対して事業運営や業績に与える影響を 速やかに報告する責任があります 今回のケースでも運転資金の流動性は確保されており事業運営に支障がないことを 早期に伝えることで市場の不安を最小限に抑える狙いがあります また手口をいち早く社会に公表することで同じような手口を狙っている攻撃者に対する 牽制になるとともに他の企業に対する注意喚起という非常に有意義な役割も果たしています 今回のインシデントから私たちが日々の業務で学べる教訓は何だとお 考えでしょうか はいどのようにセキュリティシステムを強固にしても最終的に操作を行うのは人間であるという前提に 立つことが重要です 特に上司や経営層からの緊急の指示というプレッシャーがかかる場面では人は正常な判断力を 失いがちです だからこそ例外を許さない明確な業務ルールの設定と不審な点があれば誰でも立ち止まって 確認できるオープンな社内風土の情勢が不可欠です 日頃から社内でこうした事例を共有し疑似訓練などを行うことで従業員全体の防犯意識を 高めていくことが最大の防御になります そうだったのですねシステム上の対策だけでなく別の通信手段で必ず本人確認を行うと いった業務ルールの徹底と社内風土の情勢が欠かせないということがよくわかりました 日常業務に潜む罠に気づき被害を未然に防ぐためのチェック体制を見直す いい機会になりそうです また一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、企業内の役職員を装った詐欺行為ということです。 多額の資金がですね、振り込まれてしまったということなんですけれども、 こちらの詐欺をですね、ビジネスメール詐欺などとも言うわけです。 その名の通りですね、メールなどを利用して役職員になりすましてですね、 送金などの指示を事業員に対して与えるというものなんですけれども、 言葉巧みというかですね、メールですので文章巧みというかですね、 そういった手段を持ってですね、 従業員を思うがままに誘導するということになるわけなんですけども、 誤解を恐れずに言えばですね、このビジネスメール詐欺に関しては、 技術的な難易度ですね、これ極めて低いものであります。 逆を言えばですね、人間の弱さですね、真理だったりですとか、 そういったところをですね、ついてくるということになりますので、 よりですね、気をつけなければいけないということになります。 この対策なんですけれども、やはりですね、 人間が弱いものであるという前提に立つこと、これが重要だと思っています。 セキュリティ対策がですね、俗人的ではあってはならないということは、 常にですね、このセキュラシーでは申し上げているところではあるんですけれども、 よりですね、仕組み方だったりとか、 人間の判断に依存しない形でセキュリティ対策を整備していくと。 そうするとですね、やはりその焦らされたり、 その近況を装ったりということでですね、 本来であれば判断を誤らないこともそうはならないというような状況に 陥らないようにですね、人間の弱さ、ここをですね、 仕組みの強さで守っていく、こういったことが求められるのではないでしょうか。 今日の10分セキュリティラジオは、月曜から土曜に祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you!