｢仕事が早いマジメな社員｣ほど騙される…あっという間に1億円を振り込ませる｢ニセ社長詐欺｣の最新手口

社長を装ったメールやチャットで現金を騙し取る詐欺が多発している。ITジャーナリストの鈴木朋子さんは「緊急の業務として社員を騙す手口で、被害額も大きい。また、新たなパターンとして、ニセ社長詐欺の注意喚起を装ってマルウェアを配布するメールも登場している」という――。
■突然、社長から「LINEグループを作成して」
「会社のLINEグループを作成して」――社長を装った何者かに業務命令を受け、指定口座に送金させられる詐欺被害が昨年末から多発している。長野県では飯田市の会社が2950万円、岐阜県では多治見市の会社が1億円の被害に遭うなど被害額も大きく、今年に入っても詐欺被害は続いている。
手口はこうだ。社長などの代表者から企業に対してメールが送られてくる。内容としては、会社のLINEグループを作成し、そのQRコードを送れという業務指示が含まれている。
以下は、実際に送られてきたメールだ。
「会社のLINEグループを先に作成してください。当面は、他のメンバーは招待しなくて構いません。参加後は、職称と氏名が分かるように表示名を設定してください。設定が完了したら、グループのQRコードをメールで送付してください。続いて、作業指示を出します」
■「社長の個人アドレス？」と勘違い
筆者の元に寄せられた複数の事例では、少しずつ文章は異なるものの、最も多いパターンは上記画像のような文章だ。
ほかにも、「今、会社（オフィス）にいますか？」や「今、会社にいる？　読んだら返信して」など、一文のみのパターンもある。また、文章を画像として送信してきたケースもある。迷惑メールに判別されないように工夫したのかもしれない。実際にメールソフトの迷惑メールフィルターに検出されたケースもあるが、すり抜けて社員に到達してしまうこともある。
そのほか、従業員リストを送るように求めたり、Microsoft Teamsのアカウントとパスワードを送るよう指示されるパターンも存在する。ところどころ中国語系と思われるフォントが使われていることもある。
いずれのケースも会社や社長の名前を名乗ってはいるが、outlook.com、gmail.comなどのフリーメールから送られてくる。プライベートで使っているメールアドレスと勘違いする社員も多いだろう。宛先は「info＠」や「support＠」など、大抵の企業が使っているユーザー名に会社のドメインを付けたメールアドレスに送信されることが多いが、どこかから入手したと思われる個人のメールアドレスにも送られてくる。
■犯人たちのターゲットは「経理担当者」
会社名、社長名、メールアドレスが記載されたリストが流出している、もしくは会社のWebサイトからAIを使うなどして社長名を抽出している可能性がある。最近ではチャットサービスからなりすましチャットを送られてきた事例もあった。
ニセ社長の指示に従ってLINEグループを作成すると、経理担当者をグループに入れるように指示される。ニセ社長は商談に必要だからなどの理由を述べ、「この振込先に今すぐお金を振り込むように」と緊急の指示を出す。実際に振り込みを行うと、相手からの連絡は途絶える。
今回の事案は一般的に「ニセ社長詐欺」と呼ばれているが、警察庁やIPA（情報処理推進機構）では以前から「ビジネスメール詐欺」（BEC＝Business Email Compromise）として注意を呼び掛けている。
ビジネスメール詐欺は取引先や自社の経営者などになりすまして偽のメールを送って入金を促す詐欺で、なかには従業員のメールアドレス宛に偽の請求書を送りつけたり、弁護士や法律事務所といった社外の権威ある第三者になりすましたケースもあるという。振込先として海外口座を指定してくることが多く、回収することが難しい。
■マルウェアを添付される新種の詐欺も
ニセ社長詐欺には新たなパターンが出現している。それは、ニセ社長詐欺の注意喚起を装ってマルウェアを配布するメールだ。
筆者が入手したメールでは「私の名前を騙ってLINEグループを作成するメールが頻繁に届いています。絶対に信用しないでください。添付ファイルはメール遮断ツールです。直ちにダウンロードし、対策を講じて会社の経済的損失を防いでください。」と記されたメールに「メールブロックツールをダウンロード（PCでダウンロードして実行）」と記載されており、「書類をダウンロード」するボタンが用意されていた。
警察庁の注意喚起によると、このツールはマルウェアが仕込まれたファイルという。現在のところ、このマルウェアがどんな動きをするのか定かではないが、もし指示に従って実行してしまうと社内のシステムから情報を抜き出したり、新たな詐欺メールの踏み台にされる可能性がある。
ニセ社長からの振り込み指示も当然注意すべきだが、マルウェア感染は次元の異なる脅威となる。
■ニセ社長詐欺に騙されないためには
ニセ社長詐欺は年末年始で休暇を取っている企業に対し、正規の連絡方法が取れないことを狙ったものだと推測できる。しかし、年が明けて1カ月以上経っても姿を変えて忍び寄ってきている。
人の不注意や心理を利用するニセ社長詐欺はソーシャルエンジニアリング攻撃のひとつと言える。技術的なセキュリティ対策とは異なり、企業や組織が一丸となって防御しなければならない。
対策のひとつとして、もし社長などから緊急の連絡が入った場合、社長や経理、同僚などに正規の手段で確認することを義務付けるといいだろう。普段社長が使用している会社のメールアドレスやチャットシステム、電話などで、この連絡が本当かどうか確認を行う。失礼だと考えて控える社員もいるかもしれないが、重要なセキュリティ対策として受け入れる土壌作りも大切だ。送金についても、社内ルールを見直しておくといい。
また、メール自体もよく確認すると、詐欺メールである証拠が見つかる。中国系フォントの使用や不自然な日本語だけでなく、普段の社長とは異なる様子が見て取れるかもしれない。例えば、社員の呼び方、文章の長さや言葉遣いなどから判断できる可能性もある。
■詐欺に遭ってしまったときの対処法
マルウェアに関しては、本件に限らず、メールの添付ファイルをむやみに開かないことを周知徹底する。社内のシステムを見直し、OSやソフトウェアを最新にしておくことも大切だ。本件ではニセ社長が直接ツールを配布し、ダウンロードを促している。そうした企業もあるかもしれないが、一般的には不自然な話であり、すぐに反応しないことが大切だ。
もしニセ社長詐欺に遭ってしまった場合は、全体像がわかるようにメールやLINEのスクリーンショットを保存し、最寄りの警察署に通報、相談する。振り込んでしまった場合は、振込先の銀行口座に送金を止めるなどの対応策を相談する。
今後、年度末に向けて決算処理や組織変更、人事異動などでイレギュラーな連絡も増えるだろう。注意力が欠如するこの時期には、同様の詐欺メールが続くかもしれない。
もし社員の誰かが不審なメールを受信した場合は、すぐに社内に情報を共有し、注意喚起することも大切だ。土日や夜間でも即座に報告できる専用窓口の設置など、組織としてインシデントに立ち向かう体制づくりをこの機会に整えておくことをおすすめしたい。

----------

鈴木 朋子（すずき・ともこ）

ITライター・スマホ安全アドバイザー

メーカー系SIerのSEを経て、フリーランスに。SNSなどスマートフォンを主軸にしたIT関連記事を多く手がける。10代の生み出すデジタルカルチャーを追い続けており、子どもの安全なIT活用をサポートする「スマホ安全アドバイザー」としても活動中。著作は『親が知らない子どものスマホ』（日経BP）、『親子で学ぶ スマホとネットを安心に使う本』（技術評論社）など多数。

----------

（ITライター・スマホ安全アドバイザー 鈴木 朋子）