今年4月に発生した、はてなの約11億8千万円の資金流出事案について、7月24日、同社の特別調査委員会による調査報告書が公表されました。
同社が公表した「特別調査委員会による調査報告書の公表及び役員報酬の一部自主返上に関するお知らせ」によると、警察関係者を名乗る詐欺グループが同社の経理部長に接触し、捜査協力だと信じ込ませて、会社資金の不正送金に誘導しました。
経理部長は詐欺グループに誘導され、会社貸与のパソコンにリモートデスクトップアプリをダウンロードして実行しました。詐欺グループはパソコンを遠隔操作して振込申請を行い、経理部長も二段階認証を行いました。さらに、送金元の口座残高が減ると、別の銀行にある会社口座から資金を移すよう社内の担当者に指示し、自ら承認しました。その結果、総額11億7981万円の資金が不正に送金されました。
同社のガバナンス上の問題点が存在したことはもちろんとして、IT企業であってもそのような被害を受けることに、SNS上では驚きの声が上がりました。
■決して珍しくない企業の被害
しかしながら、企業がだまされる事件は、決して珍しいものではありません。
振り返ってみれば、この10年間、さまざまな事件がありました。例えば、国内で発生した有名事件にかぎっても、2017年に発生したJALのビジネスメール詐欺事件では3.8億円の被害、2025年の山形鉄道のボイスフィッシング詐欺事件では1億円の被害などが挙げられます。海外子会社の事例を含めれば、トヨタ紡織の欧州子会社において、最大約40億円の損失見込みとされた2019年の事例も存在します。
こうしてみれば、業種や企業規模を問わず、さまざまな手口によって数億円以上の規模の被害が生じていることが分かります。
大企業でも中小企業でも、IT企業であっても鉄道会社であっても、そこにいるのは人間一人ひとりですから、だまされるときはだまされます。
「うちの会社が被害に遭うはずがない」などと考えてはいけません。
■続々届くニセ社長詐欺メール
ところで、最近筆者が注目している手口は、社長になりすまして従業員に接触し、送金を指示する「ニセ社長詐欺」です。
今年1月、埼玉県内の企業がニセ社長詐欺により、2億円の被害を受けた事件がありました。
埼玉県警察が公表した「ニセ社長詐欺に注意！」によると、この事件では、社長を名乗る人物がSNSを通じて従業員に「総務担当者を含めた3人のグループを作成してください」と指示し、従業員がグループチャットを作成しました。
その後、グループチャット内で総務担当者に会社の口座残高や口座情報を送るよう求め、さらに「これから伝える口座にお金を振り込んでください」などと指示しました。総務担当者は、インターネットバンキングを使って7回にわたり、計2億1900万円を送金しました。
冒頭のはてなの事例についても、当初はこのようなニセ社長詐欺ではないかとする報道がありました。調査報告書の公表により、実際には異なる手口だったことが明らかになりましたが、ニセ社長詐欺が話題になっていた時期だけに、関連づけて受け止めた人もいたのでしょう。
このニセ社長詐欺にはさまざまなパターンがありますが、実際に筆者のもとに届いた詐欺メールは以下のようなものです。
「お疲れ様です。今後、業務連絡をより迅速かつ効率的に行うため、このメールに返信の上、ご自身のLINEのQRコードを添付していただけますでしょうか。」
そのメールの差出人は、社長の実名となっています。
筆者は一人会社を経営していますが、実際に筆者の迷惑メールフォルダには、ごていねいにも筆者の名前をかたったこのようなメールが多数届いています。
会社代表者の情報は公開されていますから、そうした情報源をもとに大量にメールを送信しているのでしょう。
こうしたニセ社長のメールにだまされてLINEのQRコードを送ってしまうと、詐欺師の餌食となります。例えば、言葉巧みに「社内連絡グループを作り、総務部の人間を一人招待してください」というような指示を受けることがあるようです。そして最終的には、不正送金に誘導されてしまうのです。
この手口では、ニセ社長が、都合のよい「公式の連絡手段」を用意させ、そこへちゃっかりと自身も潜り込むというところがキーポイントです。個人の携帯端末ですから、既存のセキュリティ監視網が及ばないことがあります。
そのうえ、LINEグループに参加しているメンバーには本物の同僚が含まれますから、最初の1人がだまされてしまえば、「みんな参加しているから本物だ」「この部署では、そういうものなのだろう」と信じてしまいやすい点も巧妙なところです。
よくよく考えてみれば、業務連絡を個人のLINEで行うということ自体、情報管理の面でも望ましいことではありません。しかし、現実としてLINEで業務連絡を行うことに、多くの人が違和感を持たない実態があるのでしょう。
たとえそれがおかしいと感じても、組織体制変更、社内イベントの準備、異動や転職といったイレギュラーが重なったとき、「今回は特別かもしれない」と信じてしまいやすくなります。
■狙われる隙は機能していないルール
「だまされる方が悪い」「私はだまされない」と思うかもしれませんが、人間はだまされるものです。
相手は詐欺師です。人をだますプロですから、ちょっとした心の隙間につけ込み、容易に人をだましてしまいます。詐欺を見破ってスカッとする話がSNSを沸かせますが、いつでもそうできるわけではありません。専門家であっても、だまされるときはだまされる可能性があります。
単に個人のリテラシーの問題に帰着させ、だまされてしまった本人を見せしめに吊るしあげたとしても、実際のところ、あまり効果はありません。なぜなら、「ああはなりたくない」と思ったとしても、それで人間がだまされづらくなるわけではないからです。
むしろ、かえって隠ぺい体質を招き、いずれ万が一の事態が発生したとき、被害の拡大を招くことでしょう。
何よりも悪いのは詐欺犯ですが、被害企業の事例を分析すると、詐欺の手口以前に、一人または少数の人員だけで、多額の資金を移動できてしまう企業体制の問題が浮かび上がってきます。
例えば、冒頭で紹介したはてなの調査報告書では、社内ルール上は分離されるべき振込データの作成・申請と承認を、経理部長一人のオンラインバンキングのアカウントで完結できる設定になっていたことが明らかにされています。さらに、承認上限額も事実上無制限のままで、社内ルールとシステム上の権限設定が食い違っていました。
内部監査は実施されていたものの、こうしたリスクは事前に識別されず、オンラインバンキングの権限設定などについても踏み込んだ監査は行われていませんでした。
また、担当取締役は銀行から不審な振込について連絡を受けたにもかかわらず、被害を食い止めることができませんでした。このように、不正を防止し、被害の拡大を食い止めるためのチェック体制が、「ちゃんとやっているはずだ」という思い込みのもとに、十分に機能していなかった様子が見て取れます。
■だまされる前提での対策を
だまされないためのリテラシー教育や、詐欺の手口に関する教育も大切です。しかし、それ以上に重要なのは、人間はだまされる可能性があるという前提に立ち、誰かがだまされたとしても、一人では不正送金を完結できないルールや仕組みを、実際に機能するかたちで構築することだといえるでしょう。
まずは、基本的な対策として、オンラインバンキングの設定確認が挙げられます。
・限度額設定が適切な範囲であること
・送金依頼と送金承認の権限が分離されていること
・ハードウェアやアプリのセキュリティトークンの発行と管理状況
・入出金通知を複数人のメールアドレスに送信するように設定していること
・パスワードの管理が社内ルールを遵守するかたちで行われていること
このように、個人の判断だけで出金できないように設定されていることを確認しましょう。
もし単一ユーザーでログインする形式のオンラインバンキングを利用しており、権限分離設定が利用できない場合は、銀行のセキュリティトークンを物理的に施錠して管理し、使用するためには複数人のチェックを要するかたちにするという方法もあります。
また、手続きとして上長の承認を必須としても、机の上に判子が置かれたスタンプラリーコーナー状態では意味がありません。ルールが実際に機能するよう、社内ルールと実態との間に乖離がないかという視点での定期監査も必要となることでしょう。
また、被害を早期に食い止められるように、入出金通知を複数人のメールアドレスに送信するように設定することも大切です。
そして、意外に大切なのは、気軽に相談できる職場の雰囲気づくりです。詐欺はターゲットを孤立させるところから始まります。平時から気軽に相談できる、指摘できるという環境が何より大切です。
だまされた人や企業を笑うのは簡単なことですが、今一度「だまされたとしても被害を最小に抑える」という視点で、社内体制を見直してみるよい機会にしてみてはいかがでしょうか。
【参考資料】
▽株式会社はてな
「特別調査委員会による調査報告書の公表及び役員報酬の一部自主返上に関するお知らせ」
▽埼玉県警察
「ニセ社長詐欺に注意！」
◇ ◇
◇井二かける（いぶた・かける）情報処理安全確保支援士、作家、ITエンジニア。
「IT・セキュリティをもっと面白く」をモットーに、アニメ・小説・漫画・記事等の形で情報発信している。2014年より自主制作アニメ「こうしす！」シリーズを公開、2020年に小説「こうしす！社内SE祝園アカネの情報セキュリティ事件簿」（翔泳社）にて作家デビュー。最近の関心分野は、2038年問題、AIの利活用やエッジAIにおける情報セキュリティ。自身が経営するひとり出版社にて、目下、技術×SFの出版レーベルを企画中。
