CEO詐欺とは？上司になりすますメール詐欺の手口と対策を徹底解説

電子メールは、詐欺師やサイバー犯罪者にとって最もよく使われる攻撃手段の一つです。しかし、メールがマルウェアの拡散やフィッシング詐欺、いわゆる「ナイジェリア型先渡し詐欺」に使われるだけだと思っているなら、その認識を見直す必要があります。近年では、攻撃者があなたの上司になりすまし、会社の資金を数十万円〜数百万円単位で自分の管理する銀行口座へ送金させるという、新しいメールを使った詐欺が横行しています。

これは「CEO詐欺（CEO Fraud）」、あるいは「インサイダー・スプーフィング（Insider Spoofing）」と呼ばれる手口です。

攻撃の仕組み

それでは、この攻撃はどのように行われるのでしょうか。攻撃者がこの詐欺を成功させるには、標的とする企業について非常に多くの情報を事前に把握している必要があります。

その多くは、標的企業の組織階層構造に関する情報です。まず、攻撃者は誰になりすますのかを特定しなければなりません。「CEO詐欺」という名前ではありますが、実際には決裁権を持つ上級職であれば誰でも標的になり得ます。送金を指示できる立場の人間であれば十分なのです。攻撃者はその人物の氏名やメールアドレスを知る必要があり、さらに出張や休暇の予定まで分かれば理想的です。

最後に、組織内で実際に送金業務を行える人物——たとえば経理担当者や財務部門の従業員——が誰なのかを突き止めます。

こうした情報の多くは、企業の公式サイトから無料で入手できます。多くの中小企業は「会社概要」や「私たちについて」のページで、従業員の名前、役職・担当業務、連絡先を公開しています。

個人のスケジュールを知るのは少し難しいでしょう。大多数の人はカレンダーをネット上に公開していません。しかし、X（旧Twitter）やFacebook、Swarm（旧Foursquare）などのSNSで自分の移動や行動を発信している人は少なくありません。攻撃者は、標的となる幹部がオフィスを離れたタイミングを待って襲いかかるだけです。

必要な情報がすべて揃うと、攻撃者は財務担当者に宛てて、CEOを装ったメールを送りつけ、指定の銀行口座への送金を指示します。

この詐欺を成立させるには、メールが本物らしく見えることが不可欠です。攻撃者は、一見もっともらしいメールアドレス（例：firstname.lastname.arbitrarynumber@gmail.com など）を使用するか、あるいはメールヘッダーを改ざんして「From:」欄にCEOの本物のアドレスを表示する「スプーフィング」を行います。さらに執拗な攻撃者になると、わざとCEO本人からメールを送ってもらい、その文体やデザインを再現しようとすることさえあります。

攻撃者の狙いは、財務担当者が本人確認を怠ったまま、プレッシャーに負けて送金を実行してしまうことです。残念ながら、この賭けはしばしば的中します。気づかずに数十万ドル規模の送金をしてしまった企業もあるのです。BBCが取り上げたフランスのある企業では10万ユーロを騙し取られました。攻撃者は50万ユーロを狙っていましたが、銀行が不正を疑って支払いを止めたため、1件を除いてすべて阻止されたという例もあります。

ソーシャルエンジニアリング攻撃の仕組み

従来型のコンピューターセキュリティ上の脅威は、その性質上、技術的なものです。だからこそ、技術的な対策で防ぐことができます。マルウェアに感染したらアンチウイルスソフトを導入すればいいし、Webサーバーへの不正アクセスを試みる者がいれば、ペネトレーションテスト（侵入テスト）を専門家に依頼し、システムを強化する方法を助言してもらえばよいのです。

ところが、ソーシャルエンジニアリング攻撃——CEO詐欺もその一例です——への対策ははるかに困難です。これらの攻撃はシステムやハードウェアを攻撃するのではなく、「人間」を攻撃するからです。コードの脆弱性を突くのではなく、人間の本性、つまり他者を信頼したいという本能につけ込むのです。この種の攻撃について最も興味深い考察の一つが、2013年のセキュリティカンファレンス「DEFCON」で発表されました。

史上最も大胆不敵なハッキングの数々は、実はソーシャルエンジニアリングの産物でした。

2012年、米Wired誌の元記者マット・ホーナンは、彼のオンライン上の生活を完全に破壊しようとする執拗なサイバー犯罪者集団の標的となりました。犯人たちはソーシャルエンジニアリングの手法を駆使して、AmazonとAppleを説き伏せ、必要な情報を引き出しました。その結果、彼のMacBook AirとiPhoneは遠隔操作でデータ消去され、メールアカウントは削除され、影響力のあったTwitterアカウントは乗っ取られて差別的な書き込みを投稿されるという被害を受けたのです。この衝撃的な顛末は、当時大きな話題となりました。

ソーシャルエンジニアリング攻撃は、決して新しい手法ではありません。ハッカーたちは何十年もの間、システムや建物、情報へのアクセスを得るためにこの手法を使い続けてきました。中でも悪名高いのがケビン・ミトニックです。1990年代半ば、一連のコンピューター犯罪を犯した彼は警察から何年も逃亡し、逮捕後は5年間の刑務所暮らしを余儀なくされ、2003年までコンピューターの使用を禁じられました。ハッカー界における「ロックスター」といえば、真っ先にミトニックの名が挙がるほどでした。ようやくインターネットの使用が許可されたとき、その様子はLeo Laporteの番組『The Screen Savers』でテレビ放送されるほど注目を集めたのです。

ミトニックは後に更生し、現在は自身のコンピューターセキュリティコンサルティング会社を経営する一方、ソーシャルエンジニアリングとハッキングに関する著書を多数出版しています。中でも評価が高いのが『The Art of Deception（邦題：騙りの技術）』です。本書は、ソーシャルエンジニアリング攻撃がどのように仕掛けられるのか、そしてどう防げばよいのかを短編形式の事例で描いたもので、Amazonなどで購入できます。

あわせて読みたい関連書籍

『The Art of Deception: Controlling the Human Element of Security』（ケビン・ミトニック著）——人間の心理を突くセキュリティ攻撃の実態と防御策を学べる一冊です。

CEO詐欺への対策はできるのか？

ここでおさらいしましょう。CEO詐欺は深刻な脅威であり、すでに多くの企業に多大な損害を与えています。そして、人間を攻撃対象とするがゆえに、対策は極めて難しいことも分かりました。残る課題は、どう戦うかです。

言うは易く行うは難しですが、基本はシンプルです。従業員として、上司や経営層から不審な送金依頼を受けたら、メール以外の手段（電話など）で直接確認しましょう。相手には「また確認か」と煙たがられるかもしれません。しかし、10万ドルもの会社の資金を海外の口座に送金してしまうより、はるかにマシです。

技術的な対策も存在します。MicrosoftはOffice 365のアップデートにおいて、各メールの送信元が信頼できる連絡先からのものかどうかを検証する機能を導入しました。Microsoftによれば、Office 365が偽造・スプーフィングされたメールを識別する精度は500%向上したとのことです。

被害に遭わないために

こうした攻撃から身を守る最も確実な方法は、常に懐疑的であることです。高額な送金を求めるメールが届いたら、必ず上司に電話で確認してください。IT部門に影響力があるなら、CEO詐欺対策で業界をリードするOffice 365への移行を提案してみるのも良いでしょう。

願わくば誰も被害に遭っていないことを祈りますが、あなたは金銭目的のメール詐欺に遭遇したことはありますか？もし経験があれば、ぜひコメント欄で教えてください。どんなことが起きたのか、聞かせていただけると幸いです。