なぜ中小企業における不正送金被害が続出しているのか 第2回「もう社長でも 「 IT は苦手 」 は通用しない」
インターネット上の脅威の被害者にならない方法は、PCをネットワークから物理的に切り離してしまうことです。当然、外部からのPC乗っ取り等による情報被害に遭うことはなくなります。ウィルスメールをばら撒くこともなくなり、安全性は高まります。
しかし「利便性」が失われ、時代に逆行することになります。そのため、利便性を高めつつ、セキュリティ対策をしっかりと施すことが重要です。
インターネットは社会インフラ化しています。インターネットとの繋がりなくして仕事も、プライベートもことが運ばない時代になりました。水道・電気・ガスと同じように、インターネットも社会インフラとしての役割を担っていますが、他とは異なる点があります。例えば、水道の蛇口を捻って毒水が出てくることはありません。ガス栓をひねって毒ガスが出てくることはありません。これらは日本国内に閉じられた「ローカル」なインフラであるため、国及び供給会社が品質を担保しているためです。
一方、インターネットはどうでしょうか。ネットワークのケーブルを差込み、インターネットに接続できるようにした途端、誰も品質を担保してくれない「グローバル」な世界に足を踏み入れるのです。グローバル世界での共通ルールは「自己責任」ですが、残念ながら特に中小企業の経営者はこういった事実を知ろうとしません。知らないことには対策の打ちようがないのです。
●「苦手」だから「知ろうとしない」悪循環がもたらす悲劇
最近、以下のような相談を中小企業の経営者から受けることが増えました。「気づかないうちにウィルスメールをばら撒いてしまい、取引先から今度ウィルスメールを送ってきたら取引中止にするぞ！と言われています、どうすればいいですか？」という内容です。法人と取引をおこなうBtoBの場合は、売上構成における特定企業の割合が高い場合があります。例えば中小の製造業の場合、特定の1社～2社との取引で経営が成り立っている場合も少なくありません。取引先が中堅・大手企業でセキュリティ対策をしっかりと施しており、取引先側で問題が発見され通告を受けているようです。
万が一、売上依存度が高い特定の企業にウィルス等をばら撒いてしまい、取引停止処分を受けたらどうでしょうか。それだけで倒産する可能性があるほどの経営リスクをはらんでいる点を認識してください。「安全はタダで手に入る」と思っている人が多い、日本の風土がもたらす弊害でもありますが、ネットワークにPCをつないだ瞬間から、「世界中のハッカー達」から狙われる可能性がある、ということをまずは知ってください。
●情報を盗んで脅しにかかる、具体的な手口
実際に、反社会的組織が情報を盗んで脅しにかかる手口を、ある弁護士から聞きました。製造業や建設業等の多段階構造でビジネスをしている業種であれば、大手企業から図面情報や新製品情報などの機密情報を入手する機会があると思います。そのような機密情報をパソコン乗っ取りの手口を使って入手します。次に電話をかけてきます。「おたくから情報が漏れているようだ」と特定の場所（ホテルのロビー等）に呼び出し、実際に見せるのです。「この情報が漏れていることをばらすぞ」 「地域にばら撒いたら、取引先から危険視されて取引がなくなる可能性があるよな」 「ここに（情報が）ある。今ならこれ（USBメモリを見せながら）を返してもいいけど、穏便にコトをすませるために取引しようか」 「今なら○○万円で手を打つけど、どうだ？」
先代を引き継いだばかりの二代目経営者等、こういったやりとりに慣れていない場合は十分気をつけてください。「それで済むのなら」と屈してしまい言われた金額を支払ってしまってはいけません。情報は複製が簡単にできるのです。一旦何事もなく落ち着いたとしても、次から次へと同じ手口で脅しをかけてきて、ついには首が回らなくなる・・・という最悪のシナリオも十分に考えられます。万が一、このような問題が発生してしまった場合、一人で解決しようとしてはいけません。必ず警察等の公的機関に相談したり、セキュリティの専門家や弁護士等に相談に乗ってもらってください。
●「うちには取られる情報は無い」は大間違い
中小企業の経営者からよく耳にする言葉があります。「うちなんか狙われないよ」「狙われたところで、盗まれて困る情報は持っていないよ」これも、大きな間違いです。万が一PCが乗っ取られると、突然加害者になる可能性があるのです。
2014年11月初旬に、従業員2名、所有PC2台の中小企業が、突然不正送金被害の容疑者になってしまった事件が起こりました。突然3人組の刑事が乗り込んできました。「あなた達はインターネットバンキングの不正送金容疑者です。パソコンを見せてください」と取り調べを受け、パソコンも押収されてしまったのです。警察は地方銀行で起きた不正送金事件の調査中でした。不正送金被害を受けたパソコンのログやネットワークの履歴を追っていくと、今回の会社が容疑者として浮上してきたそうです。いつ、どのようなきっかけで乗っ取られたのかは、もちろん不明。まるで身に覚えがないのですが、インターネットを普通に活用していたら、PCが乗っ取られてしまったのです。
押収されたパソコンのログ履歴の中には、夜中に遠隔から電源が立ち上げられた形跡がありました。しかも、何度も定期的に立ち上げられていました。送金時間の午前8時は、出社していない。ただ、出社していない、というアリバイを証拠として提出するのが大変でした。結果として、パソコンが踏み台にされ、不正送金被害の加害者として片棒を担ぐ結果になってしまったのです。下手すると、PC乗っ取り誤逮捕事件のように、本当に逮捕されるところでした。
何度も申し上げますが、このような情報被害は、今後増えそこすれ、減ることはありません。日本がターゲットとして狙われているためです。「うちは規模が小さいから狙われない」とか「盗まれて困る情報はない」などと言っている場合ではないのです。我々が仕事等で使っているＰＣも、他人事ではありませんのでくれぐれも気をつけてください。
《船井総合研究所 経営コンサルタント 那須 慎二 ／ 技術監修 ウォッチガード・テクノロジー・ジャパン》