なりすましメールとは?仕組みから有効な8つの対策まで詳しく解説

なりすましメールとは?仕組みから有効な8つの対策まで詳しく解説

 こんにちは。WiLL Cloud運営事務局です。企業や団体を騙った「なりすましメール」が社会問題になっています。被害を受けると金銭や機密データを奪われるだけでなく、自社の信用問題にも繋がるので注意が必要です。

 この記事では、なりすましメールの仕組みや手口などを解説しています。具体的な対応策まで紹介しているので、自社のセキュリティ対策の参考にしてください。

なりすましメールとは?

 なりすましメールとは悪意のある第三者が、企業や団体に偽装して送信するメールのことです。本文に記載されたリンクなどから詐欺サイトに誘導し、企業の電話番号や住所、口座情報、顧客情報などを盗み取ります。

 過去には企業が数億円規模の大金をだまし取られる事件も発生しており、無視できない問題になっています。

なりすましメールの仕組み

 なりすましメールは、「エンベロープとヘッダの送信元が異なってもよい」というメールの仕組みを利用しています。エンベロープとは、メールの中身(本文)を運ぶためのものです。宛先や送信元など、相手先にメールを送信するための情報が格納されています。

 手紙でいえば、エンベロープが「封筒」、ヘッダが「便箋(封筒の中身)」に当たります。なりすましメールは、ヘッダの送信元を書き換えたメールです。ヘッダ(中身)を偽装していても、エンベロープ(封筒)が正しいため相手先には正確に届きます。

なりすましメール送信者の狙い

 なりすましメールの目的は、企業が保有している情報を抜き取ることです。金銭が目的であれば、クレジットカード番号や銀行の口座情報などを対象にします。大企業・有名人・公的機関などを装い、架空請求してくるケースも多いです。

 取引先を装う場合は、「部署の改変により、支払先が変わった」などの文面を送りつけます。会社幹部の場合は「極秘プロジェクトのために〇万円ほど必要になった」などです。いずれにせよ、相手に怪しまれないような巧みな文言を用います。

なりすましメールの手口

 なりすましメールの手口は、「フィッシング詐欺」「クリック詐欺」「キーロガーによる不正アクセス」などが有名です。以下で、詳しく見ていきましょう。

フィッシング詐欺

 個人的な知り合いだけでなく、企業や有名人などになりすまし、個人情報を抜き取る詐欺です。なりすましメールから偽装したサイトに社員を誘導し、パスワードやクレジット番号などを盗み取ります。誘導先のサイトは精巧に作られており、一見すると本物との区別がつきません。

 被害が拡大すると、口座にある資金を不正に引き出されたり、サイトにログインできなくなったりします。フィッシングにより正規のアドレスが乗っ取られているため、受信側がメールを判別するのは容易ではありません。

 自社が被害をこうむる恐ろしさはもちろん、自社のメールアドレスを不正利用されて取引先や顧客に被害が出るパターンもあります。

クリック詐欺

 なりすましメール内にあるリンクをクリックさせて、架空請求先のページに誘導する詐欺です。誘導先のページには「会員登録していただきありがとうございました」「入会金の支払期日は〇月〇日です」などの文面が表示されます。

 ページ内の文言により不安に駆られた社員が、慌てて支払いを済ませるケースが多いです。最近は数回クリックさせ、社員自身が同意したように見せかける手口も横行しています。

キーロガーによる不正アクセス

 キーボードの操作キーから、パスワードや個人情報を盗み取る詐欺です。なりすましメールから特殊なソフトウェアをインストールさせることで、キーボードの操作情報を取得します。盗まれたパスワードや個人情報は、口座からの不正送金に利用されたり、重要データのコピーに利用されたりします。

なりすましメールによる被害事例

 なりすましメールによる被害事例としては、2017年12月20日に発生した日本航空株式会社(JAL)の「ビジネスメール詐欺」が有名です。この事件により、取引先の請求書を偽装したなりすましメールから、約4億円の資金が騙し取られました。

 これは、なりすましメールでJAL社内のパソコンにウイルスが感染し、アカウント情報が漏洩したのが原因といわれています。

なりすましメールに対する8つの対策

 ここでは、なりすましメールの被害に遭わないための8つの対策を紹介します。しっかり実践して、会社や社員が詐欺の被害に遭わないようにしましょう。

SPFを設定する

 SPFとはIPアドレスから、なりすましメールの送信元を特定する技術です。エンベロープに格納された情報を検証し、設定したサーバー以外からのメールをシャットアウトします。SPFが設定されてないものは不審なメールとして扱われ、受信拒否することができるようになります。

DKIMを設定する

 DKIMとは電子署名を確認して、なりすましメールを特定する技術です。送信元は「秘密鍵」を使って電子署名してから、メールを送信します。受信者は送信元から「公開鍵」を取得してからでないと、メールを受信できません。公開鍵は送信者しか持っていないため、悪意のある第三者の介入を防ぐことができます。

 DKIMを設定していないと、送信元やメールの改ざんなどを判別できなくなります。

DMARCを設定する

 DMARCとはSPFとDKIMを組み合わせた技術です。SPFやDKIMなどでなりすましメールを特定した後、その処遇を自由に決められます。イギリスやアメリカの政府では、なりすまメールを迷惑メールとして即時削除するよう設定されています。

 このようにメール業務を行う上で送信元を明確にすることは、自社の信用問題にも繋がります。社内システムの中でもなりすましメールの対策を取り、自社の情報や資産を守りましょう。Will Mailでは、DKIMやSPFに対応したメール配信システムを提供しています。無料トライアルも行っているので、ぜひお試しください。

DKIMやSPFにも対応。高いセキュリティのメール配信システム

WiLL Mailの無料トライアルを申込む

あやしいメールにあるリンクや添付ファイルは開かない

 差出人が自社の人間や取引先相手であっても、リンクや添付ファイルを安易にクリックすべきではありません。クリックすればパソコンにウイルスが感染し、機密情報が抜き取られる恐れがあります。

パスワードは複雑な文字列にして定期的に変える

 銀行やショッピングサイト、その他クラウドサービスのパスワードは定期的に変更しましょう。パスワードがシンプルで予測のつきやすいものだと、すぐに見破られます。そのため数字・アルファベットの大文字、小文字・記号などを含めた、複雑な文字列にするのがおすすめです。文字列は定期的に変更し、他のサービスと使いまわさないようにしましょう。プライベートと仕事では、パスワードを使い分けることも大切です。

URLやメールアドレスは公式のものか確認

 最近のなりすましメールは、本物と見分けがつかないものも多いです。偶然に見覚えのある名前を使っているケースもあるため、少しでも違和感を覚えたら送信元に確認をとるようにしましょう。メール内のURLと本物のURLを比較検証することも大切です。

二段階認証を設定する

 IDやパスワードと同じく、銀行やキャッシュレス決済のサービスに導入されているセキュリティシステムに二段階認証があります。二段階認証とは通常のパスワードに加え、ワンタイムパスワードや認証コードを入力する機能です。2回目のパスワード入力には期限があるため、簡単にアクセスできない仕組みになっています。

 なりすましメールでパスワードをとられたとしても、不正アクセスを防止することが可能です。効果的なセキュリティなので、社内ルールとして徹底させましょう。

知らない人からSNS登録の申請は安易に承諾しない

 Facebook・Twitter・LINEなどのSNSでは、友人申請からなりすましが発生しています。そのため差出人が見覚えのある企業や取引相手であっても、安易に友達登録しないようにしましょう。

 承諾してしまうと、そこからアカウントの乗っ取りや情報漏洩が発生する可能性があります。漏洩した情報の中にメールアドレスが含まれていた場合、なりすましメールに不正利用されることもあります。

OSやセキュリティソフトの更新を怠らない

 新しいバージョンがリリースされている場合は、最新の状態に更新しましょう。更新を怠ると、セキュリティの脆弱性が解消されなくなり、なりすましに遭う可能性があります。アップデート情報はOSやセキュリティソフトごとに、こまめにチェックしましょう。

企業におけるなりすましメールの対策状況

 なりすましメールの被害が拡大したことを受け、国内企業でもSPF・DKIM・DMARCを設定しようという動きが増えてきました。ただし現状では、企業全体で十分な対策がなされているとはいえません。

 日本情報経済社会推進協会の「企業のなりすましメール対策調査結果」によると、SPFを設定している企業は全体の約6割、DMARCを設定している企業は1.0%に過ぎないそうです。

参考:日本情報経済社会推進協会|企業のなりすましメール対策調査結果

まとめ

 なりすましメールをはじめとした詐欺の手口は、年々巧妙化しています。最近は本物と区別がつかないようなメールも増えてきました。そのため、SPF・DKIM・DMARCを適切に設定して、社員一人ひとりに社内ルールを徹底することが大切です。

 WiLL Mailは、ドラッグ&ドロップでHTMLメールを作れるサービスです。今回、解説したなりすましメールの対策技術SPFやDKIMを設定する機能もあります。IPアドレスによるアクセス制限も可能なため、不正アクセスや社外への情報持ち出しの防止にも効果的です。なりすましメールの対策を検討中の方は、ぜひお試しください。

DKIMやSPFにも対応。高いセキュリティのメール配信システム

WiLL Mailの無料トライアルを申込む

著者
WiLL Cloud マーケティングチーム

ウェブマーケティングに関する情報をお届けするブログです。皆様に役に立つ情報、アップデート、イベントなど、様々なことを発信します。

メルマガ登録 »