[22/11/16] フィッシングメールの9割が詐称しているのはここ、約10業者

From Webコンサルタント中山陽平の「中小企業を強くするWebマーケティングラジオ」ラウンドナップ・Webコンサルティング代表中山陽平

ラウンドナップWebコンサルティングの中山陽平です。

このPodcast/書き起こしで得られること（要点）

今のフィッシングメールは、人の注意力だけでは防ぎきりにくい段階に入っていること
詐称されるブランドや機関はかなり絞り込まれており、対策も絞って考えるべきこと
中小企業や小規模事業者がまず着手すべきなのは、メール総量の削減とゼロトラスト寄りの運用であること

セキュリティの話は、Web活用やマーケティングの話と別物に見えるかもしれません。ですが実際には、ネットは怖いという感覚が強いままだと、売上づくり以前に業務効率化や部署間連携が止まりやすくなります。だからこそ今回は、いまのフィッシングメールがどれくらい洗練されているのか、そのうえで中小企業がどう向き合うべきかを整理します。

人の見分けだけでは厳しい段階

まず押さえたいのは、フィッシングメールがかなり見分けにくくなっていることです。昔のように、いかにも不自然な日本語や、明らかに怪しい文面なら気づけた時代とは違います。今は日本語が自然で、切り口も巧妙です。税金の未納、カードの確認、予約や配送の問題など、思わず開いてしまいそうな文面が普通に届きます。

実際、国税庁や警察庁、金融庁のような公的機関まで名乗る例もありました。国税のメールを見て思わず開いてしまった、という話が出てくるのも無理はありません。文章がよくできていて、しかもその時期に不自然ではないテーマをぶつけてくるからです。人間の注意力に期待し続けるのは、もう限界があると見た方が現実的です。

狙われる送信元は約10業者に集約

もう一つ重要なのは、何を詐称するかがかなり研究されている点です。話の中では、フィッシング対策協議会の公表内容として、全体の約9割が12ブランドに集中しているという話が出てきます。Amazon、えきねっと、カード会社、銀行など、日本人が反応しやすいところへ狙いが集まっているわけです。

しかも、その時期に開かれやすいテーマへ寄せてくる動きも見えます。旅行支援の空気が出てきた時期には、旅行系の名前を使う例も増えたという話がありました。つまり無差別にばらまいているだけではなく、日本の状況や季節要因も踏まえて調整されているということです。

この前提に立つと、「怪しいメールに気をつけましょう」だけでは弱いと分かります。どこを名乗るメールが多いのかを把握し、それを前提に社内運用を組む必要があります。

まず減らすべきはメールの流通量

では何をするべきか。ここで印象的なのは、まずメールそのものを減らすべきだという視点です。メールが多ければ多いほど、一通ずつ丁寧に見ることは難しくなります。大量の受信が当たり前になると、怪しいものが紛れても違和感が薄れます。

そのため、社内連絡をメール中心にしないことはかなり重要です。グループウェアやチャットへ寄せるだけでも、受信箱のノイズは減ります。外部とのやり取りも、関係性が作れる相手ならメール以外へ移していく。さらに、読んでいない案内メールや宣伝メールを解除し、同報配信も本当に必要な人だけへ届くよう見直す。こうした地味な整理が、結局はセキュリティ対策にもつながります。