そのため企業は、情報漏洩そのものだけでなく、「盗まれた情報がどのような詐欺に利用されるのか」という視点を持たなければならない。不正アクセスと詐欺を一連の企業犯罪として捉えて初めて、現在の脅威の全体像が見えてくる。
企業向け詐欺が増える中で「サポート詐欺」の被害が急拡大
こうした流れの中で急速に被害を拡大させているのがサポート詐欺である。数年前までは、突然「ウイルスに感染しました」と警告画面を表示し、電話をかけさせたうえでプリペイドカードなどを購入させる、個人向けの詐欺として知られていた。
しかし現在、その目的は大きく変わった。企業や自治体、学校の職員に「復旧を支援します」と説明し、遠隔操作ソフトをインストールさせる。
そして利用者自身の操作によってパソコンの制御権を取得し、組織のネットワークへ入り込むのである。かつては数万円をだまし取る犯罪だったサポート詐欺は、いまや組織内部へ侵入するための入り口へと姿を変えている。
企業ではインターネットバンキングに二要素認証を導入する例が増えている。それでも多額の不正送金が後を絶たないのはなぜか。理由は、犯罪者が認証システムを突破しているわけではないからだ。遠隔操作によって利用者のパソコンを監視し、IDやパスワードだけでなく、スマートフォンに表示されるワンタイムパスワードまで確認する。
そして利用者が認証操作を行うのとほぼ同時に、本物の銀行サイトで送金処理を実行する。つまり、防御機能を破っているのではない。防御機能を正しく利用している本人を利用しているのである。
冒頭で紹介したとおり、昨年には大手建設仮設資材販売会社の子会社がサポート詐欺によって約2億5000万円を不正送金されたと報じられた。この事件は、サイバー攻撃と詐欺が融合した新しい企業犯罪を象徴する出来事だった。
被害は企業だけにとどまらない。静岡県の公立中学校では約1000万円が不正送金され、高知市の小学校では遠隔操作によって児童や保護者の個人情報が閲覧可能な状態となった。さらに高知市では複数の学校で同時期にサポート詐欺の画面が表示されたことも報告されている。偶然とは考えにくい。
同じ業務用サイトや教材配信システムなど、学校関係者が日常的に利用する環境を狙った可能性も否定できない。教育機関には児童生徒や保護者の個人情報が集中している。犯罪者にとって、それらは企業の顧客情報と同じように価値の高い標的なのである。
