[22/11/16] フィッシングメールの9割が詐称しているのはここ、約10業者

2022.11.17

Podcast: Embed

Webで購読する Apple Podcasts | Spotify | Amazon Music | Pandora | RSS | More

ラウンドナップWebコンサルティングの中山陽平です。

このページの目次 非表示
1 このPodcast/書き起こしで得られること（要点）
2 人の見分けだけでは厳しい段階
3 狙われる送信元は約10業者に集約
4 まず減らすべきはメールの流通量
5 ゼロトラスト前提で運用を組む
6 まとめ：注意喚起ではなく仕組みで守る
7 配信スタンド
8 ■Podcast /Webinar への質問は
9 運営・進行

このPodcast/書き起こしで得られること（要点）

  • 今のフィッシングメールは、人の注意力だけでは防ぎきりにくい段階に入っていること
  • 詐称されるブランドや機関はかなり絞り込まれており、対策も絞って考えるべきこと
  • 中小企業や小規模事業者がまず着手すべきなのは、メール総量の削減とゼロトラスト寄りの運用であること

セキュリティの話は、Web活用やマーケティングの話と別物に見えるかもしれません。ですが実際には、ネットは怖いという感覚が強いままだと、売上づくり以前に業務効率化や部署間連携が止まりやすくなります。だからこそ今回は、いまのフィッシングメールがどれくらい洗練されているのか、そのうえで中小企業がどう向き合うべきかを整理します。

人の見分けだけでは厳しい段階

まず押さえたいのは、フィッシングメールがかなり見分けにくくなっていることです。昔のように、いかにも不自然な日本語や、明らかに怪しい文面なら気づけた時代とは違います。今は日本語が自然で、切り口も巧妙です。税金の未納、カードの確認、予約や配送の問題など、思わず開いてしまいそうな文面が普通に届きます。

実際、国税庁や警察庁、金融庁のような公的機関まで名乗る例もありました。国税のメールを見て思わず開いてしまった、という話が出てくるのも無理はありません。文章がよくできていて、しかもその時期に不自然ではないテーマをぶつけてくるからです。人間の注意力に期待し続けるのは、もう限界があると見た方が現実的です。

狙われる送信元は約10業者に集約

もう一つ重要なのは、何を詐称するかがかなり研究されている点です。話の中では、フィッシング対策協議会の公表内容として、全体の約9割が12ブランドに集中しているという話が出てきます。Amazon、えきねっと、カード会社、銀行など、日本人が反応しやすいところへ狙いが集まっているわけです。

しかも、その時期に開かれやすいテーマへ寄せてくる動きも見えます。旅行支援の空気が出てきた時期には、旅行系の名前を使う例も増えたという話がありました。つまり無差別にばらまいているだけではなく、日本の状況や季節要因も踏まえて調整されているということです。

この前提に立つと、「怪しいメールに気をつけましょう」だけでは弱いと分かります。どこを名乗るメールが多いのかを把握し、それを前提に社内運用を組む必要があります。

まず減らすべきはメールの流通量

では何をするべきか。ここで印象的なのは、まずメールそのものを減らすべきだという視点です。メールが多ければ多いほど、一通ずつ丁寧に見ることは難しくなります。大量の受信が当たり前になると、怪しいものが紛れても違和感が薄れます。

そのため、社内連絡をメール中心にしないことはかなり重要です。グループウェアやチャットへ寄せるだけでも、受信箱のノイズは減ります。外部とのやり取りも、関係性が作れる相手ならメール以外へ移していく。さらに、読んでいない案内メールや宣伝メールを解除し、同報配信も本当に必要な人だけへ届くよう見直す。こうした地味な整理が、結局はセキュリティ対策にもつながります。

ゼロトラスト前提で運用を組む

加えて必要なのは、「人がちゃんと見分けてくれるはず」と期待しない運用です。話の中でも、ゼロトラストの考え方が勧められていました。最初から信用するのではなく、基本は通さない、その上で必要なものだけを開けるという発想です。

会社の中で、本当に多様なメールやURLに触れる必要がある人は限られます。購買や経理など、必要な担当者だけに範囲を絞る。頻出の詐称元として挙がっているものも、社内の誰に本当に必要かを切り分ける。それ以外は受け取らない、開かない前提に寄せる方が安全です。

理想を言えば、専門サービスの導入も検討した方がいい、という話もその通りだと思います。自社だけで完結させるには限界があるからです。ただ、その前段としてメール総量の削減と運用の絞り込みは、すぐにでも着手できる実際の現場です。

まとめ：注意喚起ではなく仕組みで守る

今のフィッシング対策は、「社員教育をしたから大丈夫」とは言いにくい段階です。日本語は自然になり、詐称される相手も研究され、時期に合わせた題材まで選ばれています。だからこそ、人の判断力に頼り切るのではなく、受け取るメールの量を減らし、必要な人だけに必要な範囲を開ける運用へ変えていくことが重要です。

Web活用を前に進めるには、怖さを気合いで乗り越えるのではなく、怖さを小さくする仕組みを作ることが先です。その一歩として、まずは社内のメールの流れを見直してみるとよいのではないでしょうか。

配信スタンド

■Podcast /Webinar への質問は

こちらのフォームへどうぞ。
https://forms.gle/Lvy4nVauyJ2SRhJM7

運営・進行

株式会社ラウンドナップ（ラウンドナップWebコンサルティング）

代表取締役・コンサルタント　中山陽平

Webサイト：https://roundup-inc.co.jp/

[無料週間メルマガ] Webコンサル通信 - 中小企業に活用に役立つヒント・トピックスをお届け
このホームページをフォローする
中小企業専門WEBマーケティング支援会社・ラウンドナップWebコンサルティング(Roundup Inc.)