取引先や経営者になりすましたメールで送金先口座を変更させたり、偽の請求書を送り付けたりして資金をだまし取る。2017年には日本航空が約3億8000万円をだまし取られ、大きな話題となった。
今年には、ブログサービスや「はてなブックマーク」で知られる株式会社はてなが約11億円の被害を公表している。報道されるのは大企業の巨額被害が中心だが、その陰では同様の被害が中小企業でも数多く発生している。
企業を狙う詐欺は、すでにメールだけではない。最近急増しているのが、銀行になりすますボイスフィッシングである。自動音声で「不正アクセスが確認された」「至急確認が必要です」と不安をあおり、経理担当者へ電話を転送する。そして銀行のログイン画面を精巧に模したフィッシングサイトへ誘導し、インターネットバンキングの認証情報を入力させる。
「二要素認証を導入しているから安全」と考える企業は少なくない。しかし、この手口では犯罪者が被害者と同時に本物の銀行サイトへアクセスしている。被害者がスマートフォンに表示されたワンタイムパスワードを入力すると、その情報をリアルタイムで本物のサイトへ転送し、不正送金を成立させる。攻撃対象はシステムではない。利用者自身なのである。
CEO詐欺も変化している。従来は社長や役員になりすましたメールが主流だったが、最近では「LINEグループを作ってほしい」と従業員へ依頼し、そのグループ内で社長を装って送金を指示する事例が確認されている。
LINEは国内で最も利用されるコミュニケーション手段の1つであり、多くの人にとって日常の連絡手段となっている。そのため、「メールなら怪しいと思うが、LINEなら本物だろう」と信じてしまう心理が働く。犯罪者は新しい技術を生み出しているわけではない。私たちが最も慣れ親しんだ道具へと攻撃の舞台を移しているのである。
情報を盗む→漏洩情報を使ってだます→送金を促す
最近の企業向け詐欺には共通点がある。それは、犯罪者が企業の内部事情を驚くほど把握していることである。社長名や担当者名だけでなく、取引銀行、主要取引先、請求時期まで知っている例も珍しくない。
その出所は企業ホームページだけでは説明できない。近年では、不正アクセスによって盗まれた情報がダークウェブなどで売買され、それを別の犯罪グループが購入して詐欺に利用するケースが増えていると考えられている。
企業へ侵入する者、情報を売買する者、詐欺を実行する者。それぞれが役割を分担することで、企業犯罪は1つの「産業」のような構造へ変化しつつある。
かつて、不正アクセスと詐欺は別々の犯罪として考えられていた。しかし現在、その境界は急速になくなりつつある。まず企業へ侵入して顧客情報や商取引情報を盗み出す。次に、その情報を利用して取引先や顧客をだまし、送金や情報提供を促す。情報漏洩は犯罪の終点ではない。次の犯罪を成功させるための準備段階なのである。
