快適ITライフのために知っておきたい
初めての情報セキュリティー

第53回 経営者に成り済ますCEO詐欺

CEOから緊急のメールを受信！？

こんな状況を想像してみてほしい。あなたはドイツに拠点を置く日系企業の財務部で働いていて、その企業グループは間もなく買収されることになっている。あなたと東京本社の社員は連日のように残業し、社内は緊迫した雰囲気である。そんなある日、東京本社のCEOからある会社に急いで高額の送金をするよう求めるメールが届いた。あなたはこの会社を知らないが、メールによれば早急にライセンス料の支払いを求められており、今日中に送金しないと取引ができなくなってしまう恐れがあるという。

さらにメールの下部を見ると、東京本社の上層部と投資家、そしてその会社の担当者とのこれまでのやり取りが書かれている。この交渉は数週間に渡って行われていたらしいが、妙なことにあなたは何も知らされていなかった。CEOは支払期限をすっかり失念しており、急いで送金する必要があるが、日本は祝日で銀行が閉まっているため、日本からの送金は不可能である。しかし欧州の銀行は営業しているので、今日中に送金することができる。

CEOからは、今回だけ自分のわがままを聞き入れてほしい、そしてこのことはくれぐれも内密にしてほしいとお願いされている。つまり、全てはあなた次第ということだ。この状況で、あなたならどう決断するか。送金が間に合わなかった場合の責任を取るか、CEOの願いを聞き入れるか……。

「くれぐれも内密に」の指示には要注意

これは、いわゆる「CEO詐欺」の典型的なパターンである。詐欺グループはメールを本物らしく見せるために、ソーシャルネットワークサービス（SNS）やメディアの情報、さらには過去に流出した社内メールなどから、名前やメールアドレス、組織図などのデータを収集し、もっともらしいストーリーを構築する。本来であれば、全てのメールにデジタル署名と暗号化を実装すべきであるが、それができていない企業は残念ながらまだ多い。よって送信元アドレスの偽装を含む、このような詐欺メールを作成することは非常に簡単なのである。メールのほかに、発信者がCEOの携帯電話であるかのように見せかけたショートメッセージサービス（SMS）が送られてくるパターンも。

このような通常とは異なる緊急の指示（多くの場合「誰にも言わないように」との要請を伴う）を受けた場合は、常に疑ってかかるべきである。こんな時は慌てて行動するのではなく、念のためにまずは複数の同僚に電話で連絡し、ほかの通信手段を通じて確認書を出すよう求めるようにしてほしい。

本物かどうか判断できない場合は、一人で悩まず同僚に相談しよう