想像してみてください：受信トレイを開くと、CEOから緊急のメールが届いており、すぐに資金を送金するよう求めています。本物に見えます。ロゴも、文面の調子も、署名欄までも。すべてが完璧です。
しかし、ここに落とし穴があります。そのメールを送ったのはCEOではありません。
この種の詐欺は、世界で最も被害額の大きいサイバー犯罪の一つです。ネットワークをハッキングする代わりに、犯罪者は信頼されている同僚や取引先になりすまし、従業員に送金や認証情報の共有、悪意のあるリンクの開封を迫ります。FBIによると、この種の詐欺による損失は毎年数十億ドルに上り、成功するのは人間の信頼につけ込むからです。
ITチームがファイアウォールを導入し、ネットワークを監視している一方で、真実は単純です。従業員は最大のセキュリティリスクであると同時に、最も強力な防御でもあります。クリック一つ、パスワード一つ、そして私たちの一つひとつの判断が、平常どおりの業務と高額なデータ侵害を分けるのです。
「サイバーセキュリティ予算が減少し、攻撃が増加するなか、サイバーセキュリティはCEOから清掃員、経理チームに至るまで、全員の責任になっています」と、TechnologyAdviceのサイバーセキュリティ主任専門家Ken Underhill氏は語ります。「誰もが組織の保護に貢献できます」
『Shark Tank』出演者：「お金は戻ってこない」
自分は決して詐欺に引っかからないと思っていますか？Barbara Corcoranもそう思っていました。
2020年、『Shark Tank』の投資家で不動産業界の大物でもある彼女は、経理担当者が通常の請求書に見えるものを受け取った後、約40万ドルを失いました。そのメールはCorcoran氏のアシスタントから送られたように見え、物件の改修費用の支払いを承認する内容でした。
落とし穴は、送信者のアドレスが1文字だけ違っていたことです。見落としやすい点でした。経理担当者は依頼を正当なものだと信じて振り込みを承認しましたが、本物のアシスタントに確認し、違いに気づいて初めて真相を知りました。
「誰も気づかなかったのは、私のアシスタントのメールアドレスが1文字間違っており、詐欺師が用意した偽のメールアドレスになっていたことです」とCorcoran氏はPeople誌に語っています。「詐欺師は姿を消しました。こうしたことはよくある手口だと聞いていますし、お金は戻ってこないそうです」
Corcoran氏の損失は戒めとなる出来事ですが、決して特殊な例ではありません。巧妙に作られたメール、わずかなスペルミス、緊急の依頼という同じ手口が、規模を問わずあらゆる企業の従業員を日々狙っています。場合によっては、被害は一人の被害者にとどまらず、業界全体を混乱させるほど広がります。
その一例が、2021年のColonial Pipeline攻撃です。米国最大の燃料パイプラインは、1つの漏えいしたパスワードによって攻撃者がネットワークに侵入できた後、稼働停止を余儀なくされました。その結果、数百万ドルの損害を生むランサムウェア攻撃が発生し、米国東海岸全域で燃料不足を引き起こしました。全国に及ぶ混乱を招くのに必要だったのは、フィッシングを1回成功させることだけでした。
たった1回のクリックがすべてを引き起こす
Colonial Pipelineの操業停止とBarbara Corcoran氏の40万ドルの損失は、極端な事例に感じられるかもしれません。しかし実際には、規模を問わず攻撃の多くは同じ形で始まります。1人の従業員、1つの受信トレイ、そして1つの判断です。
サイバー犯罪者はこの点を知っています。複雑なシステムを出し抜く必要はありません。人を出し抜けばよいのです。悪意のあるリンクを1回クリックするだけで、数百万ドル相当のセキュリティソフトをすり抜け、従業員が企業データの実質的な門番になります。
従業員が意図せず攻撃者に侵入口を開けてしまう、最も一般的な経路は次のとおりです。
- フィッシングメール：正当な依頼を装った悪意のあるリンクや添付ファイルをクリックする。
- 脆弱または使い回しのパスワード：複数のアカウントで使える万能鍵を攻撃者に渡してしまう。
- 誤ったデータ共有：機密情報を間違った相手やシステムに送信する。
- 更新の怠慢：既知の脆弱性に対処するソフトウェア更新プログラムを適用しない。
調査では一貫して、人為的ミスが大半の侵害に関与していることが示されています。場合によっては95%にも達します。攻撃者にとって、気の散った一瞬を突くほうが、ファイアウォールを突破するより簡単で安上がりなことが多いのです。
だからこそ、最も強力なセキュリティ戦略はテクノロジーだけにとどまりません。すべての従業員が組織を守る自分の役割を理解する、セキュリティ意識の文化を築くのです。
「人は脅威アクターにとって主な標的ですが、同時に最も強力な防御にもなり得ます」とUnderhill氏は説明します。「立ち止まり、疑問を持ち、不審な活動を報告する従業員が一人増えるたびに、攻撃者が成功するのは難しくなります」
リモートワークとハイブリッドワークのリスク
2020年以降、リモートワークとハイブリッドワークは米国の職場を一変させました。
2024年第1四半期時点で、賃金労働者のおよそ23%が在宅勤務をしていたと、米国労働統計局によるとされています。多くの雇用主が柔軟な働き方を恒久化し、従業員の自由度を高めています。
しかし、この働き方によって、サイバー犯罪者にとってかつてないほど広い攻撃対象領域も生まれました。
特に大きな弱点の一つが家庭内ネットワークです。調査によると、16台に1台の家庭用Wi-Fiルーターはいまだに初期パスワードでアクセスできます。これは犯罪者が積極的に探している脆弱性です。侵入されると、個人のデバイスや企業アカウント、さらには機密性の高い社内システムにまで横展開される可能性があります。
しかも、これは始まりにすぎません。安全なオフィス環境の外で働くことには、次のようなさまざまなリスクがあります。
- 公衆Wi-Fiへの接続。コーヒーショップや空港のネットワークは、傍受されやすいことで知られています。仮想プライベートネットワーク（VPN）がなければ、オンラインでの活動を近くにいる誰もが見られる可能性があります。NordVPNやExpressVPN、IPVanishなどのサービスは接続を暗号化し、攻撃者による盗み見をはるかに困難にします。
- 共有デバイスと共有ネットワーク。家族やスマートデバイスが、思いもよらない脆弱性を生むことがあります。安全でないタブレットやIoT機器が、攻撃者の侵入口になる可能性があります。
- 安全でないコラボレーションツール。Slack、Teams、Google Driveはリモートワークに欠かせません。しかし、同時に格好の標的でもあります。チャットで共有された悪意のあるリンクによって、複数の従業員が被害を受ける可能性があります。
- 放置された家庭用ルーター。ファームウェアを更新したり初期パスワードを変更したりしない人は多く、ルーターは家庭内ネットワークに侵入する最も簡単な経路の一つになっています。
- 私生活と仕事の境界の曖昧化。買い物や動画視聴と機密性の高い業務データに同じデバイスを使うと、マルウェア感染や意図しない情報漏えいの可能性が高まります。
リモートワークは、オフィスと自宅の明確な境界をなくしました。リスクは異なっても、懸かっているものは同じです。オフィスの外での一つの不用意な選択が、組織全体に波及する結果を招く可能性があります。
手遅れになる前に危険信号を見抜く
Philip Murray氏は長年、サイバーセキュリティの仕事に携わってきました。リスクを知り、他の人に見抜き方を教えてきた人物です。それでも2019年、フィッシング詐欺に引っかかり、数百ポンド相当のAmazonギフト券を失いました。
Murray氏は父親になったばかりで、睡眠不足の状態でした。ある午後、上司からのように見えるメールを受け取り、顧客案件のために内密にギフトカードを購入するよう求められました。少し奇妙でしたが、あり得ない話ではありませんでした。依頼を疑わず指示に従い、ギフト券を購入してコードを送りました。
翌朝、よく眠って頭がすっきりすると、そのメッセージは上司から送られたものではなかったと気づきました。お金は消えていました。
Murray氏は後にLinkedInへの投稿で認めています。「これを避けるよう人に助言するのが仕事なのに、自分がまんまと引っかかってしまい、恥ずかしく思っています。友人や家族のグループの中で、こんなことに引っかかるはずがないのは私だったのに」
サイバーセキュリティの専門家でさえだまされるなら、私たちには何を意味するのでしょうか。フィッシングが有効なのは、技術的な欠陥ではなく、疲労や切迫感、恥ずかしさといった人間の感情を利用するからだと分かります。だからこそ、危険信号を見抜く方法を学ぶことが非常に重要なのです。
従業員が注意すべき、最も一般的な警告サインは次のとおりです。
- 偽りの緊急性。「今すぐやらなければ大変なことになる」と迫るメールは、判断力を麻痺させるよう仕組まれています。
- 機密情報の要求。正当な同僚やベンダーが、メールでログイン認証情報や財務情報を求めることは決してありません。
- 不審な送信者情報。攻撃者は、本物のアドレスと1文字だけ異なるアドレスを使うことがよくあります。
- 不自然な文法や書式。奇妙な空白、スペルミス、不格好なブランド表現は典型的な兆候です。
- 見慣れない添付ファイルやリンク。予期していなかったものなら、確認が済むまでクリックしてはいけません。
- 見慣れない連絡手段。「上司」が突然、会社指定のツールではなくテキストメッセージやWhatsAppを使い始めた場合は注意しましょう。
そして、危険信号は必ずしも文面に限られません。
の台頭により、AI生成ディープフェイク攻撃者は同僚や幹部、ベンダーになりすました説得力のある音声や動画を作れるようになりました。上司の声にそっくりな留守番電話が入り、資金を送金するよう促されたと想像してみてください。テクノロジーは新しくても、防御策は変わりません。行動を起こす前に、信頼できる経路で依頼を確認することです。
現実は単純です。攻撃者は、従業員が急ぎすぎていたり、信じ込みすぎていたり、気を取られていたりして、こうした兆候に気づかないことを期待しています。警告サインを一つでも認識できれば、悪意のあるメールを削除するか、ランサムウェア攻撃を引き起こすかの分かれ目になります。
最後の防衛線はあなた
Corcoran氏の経理担当者。Amazonギフト券を購入したMurray氏。そしてColonial Pipeline。これらの話が示す点は同じです。サイバー攻撃はコードから始まるのではありません……始まるのは人です。
テクノロジーだけでは不十分です。ファイアウォール、ウイルス対策ソフト、侵入検知システム、暗号化はいずれも重要な防御層ですが、気を散らした従業員が悪意のあるリンクをクリックしたり、不正な依頼を承認したりするのを防ぐことはできません。その責任は私たち全員にあります。
朗報なのは、従業員が無力ではないことです。クリックする前に一度立ち止まること、パスワードを更新すること、不審なメッセージを報告することの一つひとつが、企業を崩壊から守る「人的ファイアウォール」を強化します。一人の警戒心が、数百万ドル規模の災害を防ぐこともあります。
従業員が押さえておくべきポイントは次のとおりです。
- 警戒を怠らない。疲労や気の散り、焦りは攻撃者にとって最大の味方です。急がず、立ち止まりましょう。
- 依頼を確認する。メール、テキストメッセージ、電話の内容に違和感があれば、行動する前に別の経路で確認してください。
- セキュリティツールを使う。誰もがパスワードマネージャー、VPN、ウイルス対策ソフトを使うべきです。
- ソフトウェアを常に最新に保つ。こうした更新プログラムが、攻撃者に狙われている侵入口をふさぎます。
- すぐに報告する。不審なものをクリックしたと思ったら、すぐにIT部門へ知らせてください。早期発見によって、被害の拡大を防げる可能性があります。
「テクノロジーによって1日に数百万件の脅威を阻止できますが、攻撃者を侵入させるには、たった一人の従業員のミスで十分です」とUnderhill氏は述べています。「人間レベルでの意識と警戒心こそが、勝敗を分けます」
ですから、次にメールに違和感を覚えたときは、その瞬間のあなたの選択が、職場でのいつもの一日と、新聞の一面を飾るニュースとの違いを生む可能性があることを思い出してください。
より実践的な防御策については、eSecurityPlanetのトップクラスのランサムウェア対策ツールを分析した記事を読み、攻撃を受ける前に組織を守る方法を学びましょう。