事例で分かる、中堅・中小企業のセキュリティ対策【第4回】
「ネットバンクの残高が少ない」と真っ青になる前に、中小企業が取るべき対策は（1/2 ページ）
インターネットバンキングを利用する中堅・中小企業を狙った不正送金の被害が急増しています。被害に遭ったときに金融機関の補償条件に入りやすくする、最低限必要なセキュリティ対策とは？
連載について
情報セキュリティ対策をしたくても、ITに詳しい人が社内外にいなくて困っている中堅・中小企業は多いのではないでしょうか。「知識不足」と「ヒト、モノ、カネ不足」の問題が目の前にあっても、対策は待ったなしの状況。予算を握る上司を説得するために、サイバー攻撃の事例を紹介しながら、その効果的な対策につながる情報セキュリティ製品を分かりやすく解説します。
あなたの会社は、インターネットバンキングを利用していますか？
現在利用していなかったとしても、今後の利用予定はありますか？
答えが「はい」ならば、ぜひとも続きを読んでください。
インターネットバンキングは非常に便利です。金融機関に行かなくても瞬時に取引ができ、利用者に対して手数料の減額などのサービスを提供する金融機関も多く、今後ますます利用者が増えていくでしょう。しかし管理を誤ると、大切な会社のお金を一瞬で盗み取られてしまう可能性があるのです。
下記は、突如として被害に巻き込まれてしまった中小企業の、実際の出来事です。
事例：インターネットバンクの口座を確認したら、残高が少ない
建設会社を経営する、とある中小企業。銀行の勧めで、1年前からインターネットバンキングを利用している。お金のやりとりは経理担当者に任せており、ITに疎い経営者は「ITはよく分からないけど、便利だったら使えばいい」とインターネットバンキングの利用に対して、問題意識なく許可していた。
ある日、経営者が顧客と打ち合わせをしていると、会社から何度も着信があった。ここまでしつこく電話がくるのは珍しかったため、打ち合わせを中座して会社に電話をした。経理担当者は、開口一番にこう言った。
「取引先の○○社に振込処理をしようとPCで預金口座を開いてみたら、残高が少なくなっているんです。調べてみると500万円が『タカハシヒロシ』という方宛てに振り込まれているのですが、社長、ご存じですか？」
そう言われても、全く身に覚えがなかった。「取りあえず銀行に聞いてみろ」と指示し、打ち合わせを終わらせて会社に戻った。
戻ってみると、銀行の担当者と経理担当者が、顔面蒼白（そうはく）で打ち合わせをしていた。銀行の担当者によると、ウイルスによって勝手に預金が第三者に振り込まれてしまったというのだ。全く身に覚えのない出来事に混乱し、頭が真っ白になった。
悪いことは重なった。銀行は不正送金による損害を補償できないかもしれない、というのだ。理解不能な出来事が立て続けに起こり、パニック状態に陥った。結局、銀行は被害金額500万円を補償しなかった。理由は「銀行が指示していたセキュリティ対策をしていなかったから」だという。不正送金の被害分は、追加で融資をしてもらうことになった。資金繰りが続かず、倒産する懸念があったためだ。必死で稼いだ500万円が一瞬にしてなくなり、借金を背負うことになった。
インターネットバンキングの利用には、利用者が適切な対応をしないと一瞬にして虎の子であるお金を盗み取られる「経営リスク」が潜むことを、経営者自身が理解しなくてはいけません。
事実、インターネットバンキングの不正送金被害は増加の一途（いっと）をたどっています。警察庁の発表によると、2013年の被害額はおよそ14億600万円。2014年は29億1000万円です。そして2015年の不正送金被害額は、過去最悪の30億7300万円になりました。
| 内訳 | 2012年 | 2013年 | 2014年 | 2015年 |
|---|---|---|---|---|
| 個人 | 4700万 | 13億800万 | 18億2200万 | 16億700万 |
| 法人 | 100万 | 9800万 | 10億8800万 | 14億6600万 |
| 合計 | 4800万 | 14億600万 | 29億1000万 | 30億7300万 |
出典：警察庁広報資料「平成26年中のインターネットバンキングに係る不正送金事犯の発生状況等について」および「平成27年中のインターネットバンキングに係る不正送金事犯の発生状況等について」より
攻撃者は明らかに法人企業に攻撃の裾野を広げているのが分かります。法人被害の内訳を見てみると、2013年の被害は9800万円だったのに対し、2014年には10億8800万円と、10倍もの被害金額となりました。2014年は、法人におけるインターネットバンキング不正送金被害が激増した年だったのです。2015年も攻撃は続き、14億6600万円もの被害が発生しました。
法人における不正送金が激増した2014年、事態の深刻さが表面化する出来事が発生します。そこで表面化したのは、不正送金被害を受けた場合、一体誰が補償をすべきなのか、という問題です。
実は、個人の預金は「預金者保護法」という法律の下で、金融機関が預金保護をある程度補償してくれます（もちろん、補償に対する条件はあります）。ところがこの法律では、法人預金は対象範囲外なのです。そのため法的には、金融機関は法人が不正送金被害に遭遇した場合、金銭補償をする必要がありません。
しかしながら、これだけ法人の被害が激増している状況を踏まえ、全国銀行協会（全銀協）は一定の判断基準として、2014年7月17日に「法人向けインターネット・バンキングにおける預金等の不正な払戻しに関する補償の考え方について」という申し合わせを発表しました。
その条文の中で全銀協は、各銀行の経営判断に基づき、不正があった場合の対応を個別銀行の経営判断として検討することにしたのです。
こうして各銀行は次のように、サービスの向上とリスク対策を同時並行で行う取り組みを強化しました。この取り組みは銀行によってバラバラです。その理由は、取り組みを個別銀行の経営判断に委ねているからです。
- 補償金額の上限設定
- 不正送金サイトへ誘導を判別する「詐欺サイト」を見分けるプログラムの配布
- ワンタイムパスワードによるセキュリティ強化
- デジタル証明書を活用した不正送金対策
- 取引口座の監視
- 取引が不自然な場合の該当者への告知
- 啓発活動
本来ならば、全銀協が基準を提示して以降は、銀行はしっかりと不正送金被害に対する取り組みに着手し、不正送金被害は減少していくはずでした。にもかかわらず、2015年の不正送金被害は過去最悪を記録しました。しかも法人被害は2014年の10億8800万円から、2015年には14億6600万円に増えています。なぜ、このようなことが起こってしまったのでしょうか。
その理由は、攻撃者が攻撃の裾野をさらに広げてきたからです。具体的には、ターゲットとする金融機関を、全銀協傘下にある都市銀行や地方銀行だけでなく、その傘下にない信用金庫、信用組合、農業協同組合（農協）、労働金庫（労金）へと拡大しました。
2013年に被害を受けた金融機関は32機関。被害に遭遇したのは全て都市銀行と地方銀行です。2014年は被害が102機関に増加。そのうち信用金庫・信用組合は22機関（約22％）。2015年は被害に遭った223機関のうち、信用金庫・信用組合が115機関（約52％）と、わずか1年で被害に遭遇した信用金庫・信用組合の数が約5倍に増えています。なお、2014年までは被害が0件だった農協、労金がそれぞれ35組合、4金庫と増えています。
攻撃者は明らかに、攻撃の対象を大手の都市銀行、地方銀行から地方の信用金庫、信用組合へと「ダウンサイジング化」しています。第1回目の「どう防ぐ？ 標的型攻撃：『メールの添付ファイルを開いたあと、PCが重い気がする』」で紹介した「攻撃のダウンサイジング化」と酷似している出来事です。
Copyright © ITmedia, Inc. All Rights Reserved.
事例で分かる、中堅・中小企業のセキュリティ対策
情報セキュリティ対策をしたくても、ITに詳しい人が社内外にいなくて困っている中堅・中小企業は多いのではないでしょうか。「知識不足」と「ヒト、モノ、カネ不足」の問題が目の前にあっても、対策は待ったなしの状況。予算を握る上司を説得するために、サイバー攻撃の事例を紹介しながら、その効果的な対策につながる情報セキュリティ製品を分かりやすく解説します。
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[LRM株式会社] 「標的型攻撃メール」事例・サンプル集 -
製品資料
[LRM株式会社] セキュリティ教育はなぜ「年間計画」を立てる必要があるのか？ -
製品資料
[LRM株式会社] セキュリティの重要性が伝わらない…… 効果がない社員教育から脱却する方法 -
製品資料
[LRM株式会社] 「標的型攻撃メール訓練」導入ガイド 社員の意識を確実に高める仕組みの作り方 -
事例
[株式会社マクニカ] アイカ工業に学ぶ脆弱性対策 情シスが把握できずにいたアセットも正確に把握
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「VMware離れ」は本当か 3000社がVCF 9にかじを切った現実的な理由
-
2
「Microsoft 365」が乗っ取られる 跡形もなくMFAを破る手口
-
3
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
4
Oracle巨大ITプロジェクトはなぜつまずいたのか 8年で導入1割、追加で170億ドル
-
5
AI全部入り「Microsoft 365 E7」に企業が二の足を踏む訳 移行意向はわずか4％
-
6
Microsoft製品でここまで自動化できる 情シスがやめられる手作業10選
-
7
なぜOpenAIやAnthropicのAIは「脱走」したのか 情シスが迫られるエージェント統制
-
8
Netflixのバックエンドは「ほぼJava」 3000超のアプリを支える開発基盤の裏側
-
9
「技術屋」で終わらないために 情シスが今取るべき認定資格5選
-
10
「Windows派」「Linux派」を分ける決定的な違い
ホワイトペーパーランキング PR
-
1
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
2
AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
-
3
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
4
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
5
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
6
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
7
PostgreSQLの「機能」「性能」「運用」「拡張性」に関する悩みの解消法
-
8
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
9
Macの安全神話は崩壊？ 最新の脅威動向から見えた攻撃のトレンドと有効な対策
-
10
情報セキュリティ対策早分かりガイド：25の自社診断で弱点と解決策を理解
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー