事例で分かる、中堅・中小企業のセキュリティ対策【第4回】

「ネットバンクの残高が少ない」と真っ青になる前に、中小企業が取るべき対策は（1/2 ページ）

インターネットバンキングを利用する中堅・中小企業を狙った不正送金の被害が急増しています。被害に遭ったときに金融機関の補償条件に入りやすくする、最低限必要なセキュリティ対策とは？

公開 2016年09月26日 09時01分

著者

那須慎二

[船井総合研究所]

印刷する連載新着通知を受け取る

連載について

　情報セキュリティ対策をしたくても、ITに詳しい人が社内外にいなくて困っている中堅・中小企業は多いのではないでしょうか。「知識不足」と「ヒト、モノ、カネ不足」の問題が目の前にあっても、対策は待ったなしの状況。予算を握る上司を説得するために、サイバー攻撃の事例を紹介しながら、その効果的な対策につながる情報セキュリティ製品を分かりやすく解説します。

　あなたの会社は、インターネットバンキングを利用していますか？

　現在利用していなかったとしても、今後の利用予定はありますか？

　答えが「はい」ならば、ぜひとも続きを読んでください。

　インターネットバンキングは非常に便利です。金融機関に行かなくても瞬時に取引ができ、利用者に対して手数料の減額などのサービスを提供する金融機関も多く、今後ますます利用者が増えていくでしょう。しかし管理を誤ると、大切な会社のお金を一瞬で盗み取られてしまう可能性があるのです。

併せて読みたいお勧め記事

中堅・中小企業のセキュリティ対策の課題

定番アプリの脆弱性の悪用

　下記は、突如として被害に巻き込まれてしまった中小企業の、実際の出来事です。

事例：インターネットバンクの口座を確認したら、残高が少ない

　建設会社を経営する、とある中小企業。銀行の勧めで、1年前からインターネットバンキングを利用している。お金のやりとりは経理担当者に任せており、ITに疎い経営者は「ITはよく分からないけど、便利だったら使えばいい」とインターネットバンキングの利用に対して、問題意識なく許可していた。

　ある日、経営者が顧客と打ち合わせをしていると、会社から何度も着信があった。ここまでしつこく電話がくるのは珍しかったため、打ち合わせを中座して会社に電話をした。経理担当者は、開口一番にこう言った。

　「取引先の○○社に振込処理をしようとPCで預金口座を開いてみたら、残高が少なくなっているんです。調べてみると500万円が『タカハシヒロシ』という方宛てに振り込まれているのですが、社長、ご存じですか？」

　そう言われても、全く身に覚えがなかった。「取りあえず銀行に聞いてみろ」と指示し、打ち合わせを終わらせて会社に戻った。

　戻ってみると、銀行の担当者と経理担当者が、顔面蒼白（そうはく）で打ち合わせをしていた。銀行の担当者によると、ウイルスによって勝手に預金が第三者に振り込まれてしまったというのだ。全く身に覚えのない出来事に混乱し、頭が真っ白になった。

　悪いことは重なった。銀行は不正送金による損害を補償できないかもしれない、というのだ。理解不能な出来事が立て続けに起こり、パニック状態に陥った。結局、銀行は被害金額500万円を補償しなかった。理由は「銀行が指示していたセキュリティ対策をしていなかったから」だという。不正送金の被害分は、追加で融資をしてもらうことになった。資金繰りが続かず、倒産する懸念があったためだ。必死で稼いだ500万円が一瞬にしてなくなり、借金を背負うことになった。

　インターネットバンキングの利用には、利用者が適切な対応をしないと一瞬にして虎の子であるお金を盗み取られる「経営リスク」が潜むことを、経営者自身が理解しなくてはいけません。

　事実、インターネットバンキングの不正送金被害は増加の一途（いっと）をたどっています。警察庁の発表によると、2013年の被害額はおよそ14億600万円。2014年は29億1000万円です。そして2015年の不正送金被害額は、過去最悪の30億7300万円になりました。

表　インターネットバンキングの不正送金被害額の内訳（単位：円）
内訳	2012年	2013年	2014年	2015年
個人	4700万	13億800万	18億2200万	16億700万
法人	100万	9800万	10億8800万	14億6600万
合計	4800万	14億600万	29億1000万	30億7300万

出典：警察庁広報資料「平成26年中のインターネットバンキングに係る不正送金事犯の発生状況等について」および「平成27年中のインターネットバンキングに係る不正送金事犯の発生状況等について」より

　攻撃者は明らかに法人企業に攻撃の裾野を広げているのが分かります。法人被害の内訳を見てみると、2013年の被害は9800万円だったのに対し、2014年には10億8800万円と、10倍もの被害金額となりました。2014年は、法人におけるインターネットバンキング不正送金被害が激増した年だったのです。2015年も攻撃は続き、14億6600万円もの被害が発生しました。

　法人における不正送金が激増した2014年、事態の深刻さが表面化する出来事が発生します。そこで表面化したのは、不正送金被害を受けた場合、一体誰が補償をすべきなのか、という問題です。

　実は、個人の預金は「預金者保護法」という法律の下で、金融機関が預金保護をある程度補償してくれます（もちろん、補償に対する条件はあります）。ところがこの法律では、法人預金は対象範囲外なのです。そのため法的には、金融機関は法人が不正送金被害に遭遇した場合、金銭補償をする必要がありません。

　しかしながら、これだけ法人の被害が激増している状況を踏まえ、全国銀行協会（全銀協）は一定の判断基準として、2014年7月17日に「法人向けインターネット・バンキングにおける預金等の不正な払戻しに関する補償の考え方について」という申し合わせを発表しました。

　その条文の中で全銀協は、各銀行の経営判断に基づき、不正があった場合の対応を個別銀行の経営判断として検討することにしたのです。

参考

法人向けインターネット・バンキングにおける預金等の不正な払戻しに関する補償の考え方について（全銀協）

　こうして各銀行は次のように、サービスの向上とリスク対策を同時並行で行う取り組みを強化しました。この取り組みは銀行によってバラバラです。その理由は、取り組みを個別銀行の経営判断に委ねているからです。

補償金額の上限設定
不正送金サイトへ誘導を判別する「詐欺サイト」を見分けるプログラムの配布
ワンタイムパスワードによるセキュリティ強化
デジタル証明書を活用した不正送金対策
取引口座の監視
取引が不自然な場合の該当者への告知
啓発活動

　本来ならば、全銀協が基準を提示して以降は、銀行はしっかりと不正送金被害に対する取り組みに着手し、不正送金被害は減少していくはずでした。にもかかわらず、2015年の不正送金被害は過去最悪を記録しました。しかも法人被害は2014年の10億8800万円から、2015年には14億6600万円に増えています。なぜ、このようなことが起こってしまったのでしょうか。

　その理由は、攻撃者が攻撃の裾野をさらに広げてきたからです。具体的には、ターゲットとする金融機関を、全銀協傘下にある都市銀行や地方銀行だけでなく、その傘下にない信用金庫、信用組合、農業協同組合（農協）、労働金庫（労金）へと拡大しました。

　2013年に被害を受けた金融機関は32機関。被害に遭遇したのは全て都市銀行と地方銀行です。2014年は被害が102機関に増加。そのうち信用金庫・信用組合は22機関（約22％）。2015年は被害に遭った223機関のうち、信用金庫・信用組合が115機関（約52％）と、わずか1年で被害に遭遇した信用金庫・信用組合の数が約5倍に増えています。なお、2014年までは被害が0件だった農協、労金がそれぞれ35組合、4金庫と増えています。

　攻撃者は明らかに、攻撃の対象を大手の都市銀行、地方銀行から地方の信用金庫、信用組合へと「ダウンサイジング化」しています。第1回目の「どう防ぐ？　標的型攻撃：『メールの添付ファイルを開いたあと、PCが重い気がする』」で紹介した「攻撃のダウンサイジング化」と酷似している出来事です。

次ページへ進化する不正送金の攻撃手法、最低限必要なセキュリティ対策は？