そのメールは上司からのものではない：CEOの不正行為を阻止する6つの方法
by
最終更新日: 5 読了時間：5分
最悪のフィッシング詐欺は、CEO詐欺のように無視することができないものです。政府からのメールと思われるもので、未納の税金を払わなければ法的措置を取るというもの。学校や大学から送られてきたと思われるEメールで、払いそびれた授業料を支払うように要求される。あるいは、上司やCEOから「好意で」お金を振り込むようにというメッセージもあります。
主なポイント
- CEO詐欺は重大な脅威であり、確信犯的なフィッシングメールによって毎年数百万ドルの損失が発生している。
- フィッシングの手口や警告サインについて従業員を教育することは、CEOによる詐欺攻撃を防ぐために極めて重要である。
- DMARCのような電子メール認証プロトコルは、不正な電子メールが受信トレイに届く前にブロックするのに役立ちます。
- 電子メールで依頼された電信送金を処理する前に、必ず別の経路で明確な承認を求めること。
- 類似したドメイン名からのメールを監視し、フラグを立てることで、フィッシングの被害に遭うリスクを減らすことができる。
CEO Fraudとは？
CEO詐欺攻撃は、詐欺師が企業のCEOになりすまし、従業員に金銭を送金させようとするフィッシングメール詐欺のことです。このメールには、通常、企業のCEOの本名と役職名が記載されています。
このようなメールの問題点は、政府や大学の理事会、職場の上司などの権威者になりすましていることです。彼らは重要な人物であり、彼らのメッセージを無視すれば、ほぼ間違いなく重大な結果を招きます。だから、見ざるを得ないし、説得力があると思えば、実際に騙されてしまうかもしれない。
PowerDMARCでCEOの不正を防ぐ！
CEOの不正とは無縁ではない
毎年23億ドルの詐欺事件が発生しています。単純なメール詐欺で、何が企業にそれだけのお金を失わせることができるのか？"と疑問に思うかもしれません。しかし、CEOの詐欺メールがどれほど説得力があるか、驚くことでしょう。
2016年、マテル社はフィッシング攻撃により300万ドルの損失を出しそうになりました。財務担当役員がCEOからメールを受け取り、中国にあるベンダーの一つに支払いを送るよう指示されました。しかし、後になってCEOに確認したところ、メールを送っていなかったことが判明したのです。幸い、この会社は中国と米国の法執行機関と協力して、数日後にお金を取り戻しましたが、このような攻撃が起こることはほとんどありません。
このような詐欺は自分には起こらないと思いがちですが、実際に起こってみるとそうでもないのです。そして、それが最大の間違いであり、CEOの詐欺に備えていないということなのです。
フィッシング詐欺は、あなたの組織に数百万ドルの損失を与えるだけでなく、あなたのブランドの評判と信頼性に永続的な影響を与える可能性があります。これは、信頼とオンライン上の知名度が密接に関係し、強力なリーガルSEOの実践が潜在的な顧客があなたの会社を見つけ、判断する方法を静かに形作ることができる、法律のようなセクターに特に当てはまります。メール詐欺でお金を失った会社とみなされたり、機密個人情報を保管している顧客の信頼を失ったりするリスクもあります。
事後の対応に追われるのではなく、今回のようなスピアフィッシング詐欺からメールチャネルを保護する方がはるかに意味があります。ここでは、FBIが発表したBECに関するレポートで、あなたの組織が統計対象にならないようにするための最善の方法をいくつかご紹介します。
CEOの不正を防ぐには6つのシンプルなステップ
- 従業員にセキュリティ教育を実施しましょう
これは絶対に欠かせないことです。従業員、特に財務部門のスタッフは、「ビジネスメール詐欺（BEC）」の手口を理解しておく必要があります。そして、単に「パスワードを付箋に書き留めないでください」といった、退屈な2時間のプレゼンテーションを行うだけでは不十分です。 従業員には、メールが偽物である可能性を示す不審な兆候を見抜く方法、なりすまされたメールアドレスに注意を払う方法、そして他のスタッフがメールを通じて行っているように見える不自然な要求に気づく方法について、しっかりと教育する必要があります。 - なりすましの兆候に注意してください
メール詐欺師は、あなたに要求に従わせるためにあらゆる手口を使います。その手口には、急いで考えなしに行動させるための「緊急の送金依頼や指示」から、上司がまだあなたに明かしていない「秘密のプロジェクト」を理由に機密情報へのアクセスを求めるものまで、多岐にわたります。 これらは重大な危険信号ですので、いかなる行動を取る前にも、何度も入念に確認する必要があります。 - DMARCでセキュリティ対策を
フィッシング詐欺を防ぐ最も簡単な方法は、そもそもそのメールを受け取らないことです。DMARCは、ドメインから送信されるメールを配信前に検証するメール認証プロトコルです。ドメインにDMARCを適用すると、自社組織の従業員を装う攻撃者は不正な送信者として検出され、そのメールは受信トレイに届く前にブロックされます。これにより、なりすましメールに悩まされることは一切なくなります。
DMARCとは何かについて説明します。
- 電信送金については明確な承認を得る
これは、誤った相手への送金を防ぐための最も簡単で明確な方法の一つです。取引を実行する前に、メール以外の手段を用いて、送金を依頼した相手から明確な承認を得ることを義務付けてください。高額な電信送金については、口頭での確認を必須にしてください。また、多くの企業では、電信送金の代替手段としてセキュリティ対策が施されたクレジットカードを利用しており、これにより不正利用に対する保護が強化されています。 - 類似したドメイン拡張子を持つメールにフラグを立てる
FBIは、組織が自社のドメイン拡張子と類似しすぎる拡張子を使用しているメールを自動的に検出してフラグを立てるシステムルールを設定することを推奨しています。例えば、自社が「123-business.com」を使用している場合、システムは「123_business.com」のような拡張子を持つメールを検出してフラグを立てることができます。 - 類似したドメイン名を購入する
攻撃者は、フィッシングメールを送信するために、一見似たようなドメイン名を使用することがよくあります。たとえば、組織名に小文字の「i」が含まれている場合、攻撃者は大文字の「I」を使用したり、文字「E」を数字の「3」に置き換えたりすることがあります。こうした対策を講じることで、非常に似たドメイン名を使ってメールが送信されるリスクを低減することができます。
ドメインおよびメールセキュリティの専門家（所属： PowerDMARC
AhonaはPowerDMARCのマーケティングマネージャーで、サイバーセキュリティのトピックについて5年以上の執筆経験があり、ドメインと電子メールのセキュリティを専門としている。ジャーナリズムとコミュニケーションの卒業後学位を取得し、2019年からセキュリティ分野でキャリアを固めている。
最新記事 by Ahona Rudra(全て見る)
- MFA疲労（プッシュ・ボンビング）とは何か？ - 2026年7月21日
- DMARC MSP 事例研究：Adoptive Technologies が PowerDMARC を活用して顧客に一元化されたメールセキュリティを提供する方法 - 2026年7月17日
- Google Workspace（Gmail）でDMARCを設定する方法 - 2026年7月14日
