専門家も思わず開封してしまったなりすましメールや迷惑メール：萩原栄幸の情報セキュリティ相談室（1/3 ページ）

多くの人にとって身近なメールは、サイバー攻撃で最も使われる“道具”の1つ。実際に届いた「なりすましメール」や「迷惑メール」を紹介しつつ、思わず筆者も開封してしまったケースも交えて解説したい。

[萩原栄幸，ITmedia]

　さて、今年最初の記事は身近に感じられるところからお伝えすべきと考え、「メール」に焦点をあててみたい。

　昨年、筆者あてに来たメールの数は、フィルタリングでスパムと判断されたメールを含めると約11万2000通あった。メールアドレスの数もフリーメールを含めるとちょうど10種類ある。最近のスパムは、判断が難しいタイプが急増し、フィルタリングの設定も大変になっている。

　サイバー攻撃の第一段階として多いのがメールだ。筆者は、2002年頃に行った金融機関向けのセミナーで、友人や職場の仲間への「なりすまし」、ついファイルを開いてしまったり、リンク先をクリックしてしまうメールへの注意を呼び掛けたことがあり、その後も依頼を受けて複数の企業で、どの程度の社員や職員が実際に「なりすましメール」を開いてしまうのかをテストしたことがある。当時の例としては次の2種類を作成した。

件名：「注文品の中の部品に不備があります。早急に対応をお願いします。」

先日、注文した山田と申します。希望日に届いて信頼していたのですが、その後中を確認しますと、右の部品がありません。その替わり左の部品が２つありますのでこれでは組み立てが出来ません。早急に対応願います。一応その時の画像を添付していますのでご覧ください。

私の氏名、住所、注文品は次の通りです。

　この文章で画像ファイルを開いてしまうと「アウト」だが、結構な割合で開いてしまっていた。

件名：「〇〇ネットショップです。ご注文ありがとうございました。」

本メールはお客様の注文時に自動で発行するメールですのでここにご返信頂いてもメールは届きませんのでご了承ください。

ご注文日時：〇月〇日〇時〇分

ご注文品：〇〇　1ケース

　　　　：〇〇　1ケース

代金：〇〇〇〇円

お支払い方法　振込用紙によるお振り込み

万一、ご本人が覚えが無いなどの場合は下記のサイトから詳細をお伝えください。原則2営業日以内に弊社の担当から直接お電話を差し上げ、対応致します。

URL http://www.netshopping123.com/QA-order/mail123/〇〇〇

　本文は、本物のメールを参考にもっともらしいように装飾して作成した。このようなメールでも、リンクをクリックしてしまう方が相当数に上っていた。

　実際の割合はお伝えできないが、相当な数の職員がだまされたものである。テスト後、経営者にはこうした実態があるので、全ての職員がコンプライアンス教育や情報セキュリティの啓蒙教育を受講することの重要性をお伝えした。そして講演を行い、別のタイプのなりすましメールを送付する再テストを行うと、今度は全員がセーフとなった。そうした成果をみて、教育の重要性を理解された経営者も多かった。