「中小企業のサイバーセキュリティ入門」第3回は、取引先などになりすましたメールによる送金被害を防ぐため、振込先変更の連絡を受けたときの確認方法をご案内します。
今回のポイント
- 送信者名や文面が自然でも、正しいメールとは限りません
- 振込先の変更は、普段使っている連絡先へ別の方法で確認します
- 担当者個人の注意力だけに頼らず、社内手順にしておきましょう
取引先や経営者になりすます「ビジネスメール詐欺」
ビジネスメール詐欺とは、取引先や経営者などになりすましたメールを送り、従業員をだまして攻撃者の口座へ送金させる手口です。英語名の頭文字から「BEC」と呼ばれることもあります。
IPAが公表している事例には、取引先の担当者になりすまし、銀行口座を示す書類まで偽造して、振込先口座の変更を依頼したものがあります。
メールの表示名、署名、過去のやり取りに似た文面が使われると、一見しただけでは気づきにくい場合があります。「急いでほしい」「担当者には連絡しないでほしい」など、通常と異なる依頼が加わることもあります。
メールに書かれた連絡先だけで確認しない
振込先や支払方法の変更を求めるメールを受け取ったら、そのメールへ返信するだけで確認を終えないことが大切です。メール自体が偽物なら、返信先も攻撃者である可能性があるためです。
IPAは、メールの署名欄が偽装されている可能性を踏まえ、信頼できる方法で入手した連絡先を使うよう案内しています。
過去の契約書や社内の取引先台帳などに登録された電話番号を使い、いつもの担当者へ確認します。電話が難しい場合も、普段から利用している別の連絡手段を選びましょう。メール本文に新しく記載された電話番号だけを使うのは避けます。
担当者だけに判断を任せない
送金を担当する方が、一人で真偽を判断するのは負担になります。振込先の変更時は、取引先への確認に加え、社内の責任者による確認を必要とするなど、手順を決めておくことが重要です。
普段から手順が決まっていれば、急ぎの依頼を受けても「決まりなので確認します」と対応しやすくなります。
今週決めていただきたいこと
今週は、次の1点を社内で決めてください。
「振込先や支払方法の変更依頼を受けたとき、誰が、どの連絡先を使って確認するか」
決めた手順は、経理・財務担当者だけでなく、請求書や取引先メールを受け取る方にも共有しましょう。
参考情報
IPA「ビジネスメール詐欺（BEC）対策特設ページ」：
組合員の皆さまへ
情報セキュリティ対策は、業種や企業規模を問わず、日頃からの備えが重要です。
振込先変更時の確認手順を見直すきっかけとして、本メールをご活用ください。
