ウイルス対策ソフトや、ファイアウォールを導入していても、従業員が不審なメールの添付ファイルを開いたり、偽サイトにパスワードを入力したりしてしまえば、被害につながります。サイバー攻撃の入口の多くが「人」であるため、技術的な対策に加えて、従業員への教育と訓練が欠かせません。本記事では、標的型メールとフィッシングの違い、技術的な対策、従業員教育と訓練の進め方を、中小企業向けに解説します。被害の大きなランサムウェアについては、ランサムウェア被害から会社を守る！中小企業のセキュリティ対策入門もあわせてご覧ください。
標的型メールとフィッシングの違い
- フィッシング：金融機関や通販サイト、各種サービスを装った偽のメールを、不特定多数に送り、偽サイトへ誘導して、IDやパスワード、カード情報などを盗む手口です。
- 標的型攻撃メール：特定の企業や個人を狙い、取引先や社内の人物、業務に関係のある内容を装って、ウイルス付きのファイルを開かせたり、不正なURLをクリックさせたりする手口です。
どちらも、「本物らしく見せて、受信者に操作させる」点は共通しています。近年は、文面も自然なものが増えており、「日本語が不自然だから、偽物と分かる」とは言えなくなっています。
まず整えたい技術的な対策
従業員の注意力だけに頼るのではなく、攻撃を受けても被害を最小限にできる環境づくりが重要です。
- メールのフィルタリング：迷惑メールや、不審な添付ファイルを持つメールを、受信の段階で検知・隔離する
- 多要素認証の導入：パスワードが盗まれても、不正なログインを防げるようにする（パスワード管理・多要素認証で防ぐ不正アクセスも参考に）
- OSとソフトウェアの更新：脆弱性を悪用した感染を防ぐため、最新の状態に保つ
- ウイルス対策・不審な挙動を検知する仕組み：感染した場合に、早く気づけるようにする
- アクセス権の最小化：すべての従業員が、重要なデータに触れられる状態にしない
- 送信ドメイン認証（SPF、DKIM、DMARC）：自社のドメインを悪用した、なりすましメールを送られにくくする
送信ドメイン認証は、取引先など、他者に向けた自社のなりすましを防ぐための設定です。自社が受け取る不審なメールを防ぐものではない点に、注意してください。クラウド時代の考え方は、ゼロトラストとは？クラウド時代のセキュリティ新常識で解説しています。
従業員に伝えたい「見分けるポイント」
送信元のアドレスとドメイン
表示されている名前が、本物の取引先や社内の人物でも、メールアドレスのドメインが微妙に違うことがあります。アルファベットが似た文字に置き換えられていたり、無関係なドメインから送られたりしていないか、確認する習慣をつけます。
緊急性をあおる内容
「アカウントが停止されます」「至急ご確認ください」「本日中に対応が必要です」など、急がせる内容は、冷静な判断を奪うための、典型的な手口です。慌てず、別の手段で確認する癖をつけましょう。
リンク先のURLと、添付ファイル
リンクの上にカーソルを乗せると、実際の遷移先のURLを確認できます。普段使っているサービスのログインは、メールのリンクからではなく、ブックマークや公式アプリから開くよう徹底します。また、心当たりのない添付ファイル、特に、圧縮ファイルや、マクロ付きのOfficeファイルには注意が必要です。
普段と違う依頼
取引先から、急に振込先の変更を依頼される、社内の上長を名乗って、ギフトカードの購入を頼まれるなど、普段とは違う依頼は要注意です。電話など、別の連絡手段で、本人に確認する運用を決めておきましょう。
「開いてしまったとき」の報告ルールを決める
どれだけ教育をしても、騙されてしまう可能性はゼロにはなりません。重要なのは、気づいた時に、すぐに報告できる環境です。報告が遅れるほど、被害が広がります。
- 不審なメールを受け取ったとき、開いてしまったときの連絡先を、全従業員に周知する
- 感染が疑われる端末は、すぐにネットワークから切り離す（LANケーブルを抜く、Wi-Fiを切る）
- 入力してしまった可能性のあるパスワードは、速やかに変更する
- 報告した従業員を責めず、早く報告したことを評価する文化をつくる
叱責を恐れて報告をためらう職場では、被害の発見が遅れます。報告しやすい雰囲気づくりも、重要な対策のひとつです。大きな被害に備えた事業継続の考え方は、システム障害に備える！BCP（事業継続計画）の作り方で解説しています。
訓練の進め方
標的型メール訓練とは
従業員に、模擬の不審なメールを送り、どう反応するかを確認する訓練です。実際に開封・クリックしてしまった人に、その場で学習用の画面を表示するなど、体験を通じて、危険性を理解してもらいます。
訓練を行うときのポイント
- 目的を明確にする：個人を評価するためではなく、組織全体の意識と対応力を高めるために行うことを伝える
- 開封率だけを見ない：開封した人の数より、「不審に思って報告した人」の割合に注目する
- 結果を共有する：全体の傾向と、どんな文面が見抜きにくかったかを、全員に共有する
- 継続して実施する：1回で終わらせず、年に数回など、内容を変えて繰り返す
- 個人を特定して叱責しない：特定の個人を責めると、報告の意欲が下がる
小さな会社の進め方
専任のセキュリティ担当者がいない会社でも、次のように、段階的に進めることができます。
- まず、主要なサービスに多要素認証を導入する
- 不審なメールを受け取った時の連絡先と、初動の手順を決めて周知する
- 朝礼や、社内の連絡で、最近の手口の事例を共有する
- 余裕が出てきたら、模擬メールの訓練サービスなどの利用を検討する
万一の被害に備えて、保険という選択肢もあります。サイバー保険とは？システム対策とあわせて検討したいリスク移転もあわせて参考にしてください。
よくある質問
Q. 訓練で開封してしまった従業員は、注意や処分の対象にすべきですか？
A. 訓練の目的は、体験を通じて学ぶことです。個人を責めると、実際に被害に遭った際に報告しづらくなり、かえって逆効果になりかねません。結果は、組織全体の教育の材料として活用しましょう。
Q. SPF・DKIM・DMARCを設定すれば、不審なメールを防げますか？
A. これらは、自社のドメインを偽って送られるメールを、受信側が見分けやすくするための仕組みです。自社が受信する不審なメールを防ぐものではないため、メールフィルタや従業員教育など、他の対策と組み合わせて使います。
まとめ
標的型メールやフィッシングへの対策は、メールフィルタや多要素認証などの技術的な対策と、従業員への教育・訓練の両輪で進めます。見分け方を伝えるだけでなく、「開いてしまったときにすぐ報告できる」環境をつくることが重要です。小さな会社でも、報告ルールの整備と多要素認証の導入から、始めてみましょう。
