つくばの中小企業の皆さん、正直に言います。もうフィッシング詐欺が見抜けない時代になりました。
攻撃者がAIを使ってより説得力のあるフィッシングメッセージを作成し、文体を模倣し、同僚や取引先、幹部から来たように見える現実的な偽の要求を作成しているんです。文法の間違いや不自然な表現といった詐欺の古い兆候は、以前ほど信頼できなくなったのが実情です。
もう「文法がおかしいから詐欺」は通用しない
これまでなら「あ、日本語変だし怪しいな」って気づけた詐欺メールも、今はAIが完璧な日本語で書いてくる。RESONIXが長年やってきた中で、つくばの会社でも「完全に本物だと思った」って声が実際に出てるんですよ。
小規模企業にとって、これはメールセキュリティとスタッフの意識向上において重要度を高めている。トレーニングは依然として重要だが、現在の脅威に合わせる必要があるわけです。つまり、従業員教育をアップデートしないとまずいってこと。
小さい会社ほど狙われやすい理由
5人のオフィスは500人の会社と同じくらい攻撃者にとって魅力的で、時にはそれ以上。小規模な組織はしばしば迅速に動き、つぎはぎのツールに依存し、自分たちは小さすぎて標的にならないと思い込んでいる。
この思い込み、本当に危険です。うちのクライアントでも「うちなんて誰も狙わないでしょ」って言う経営者がいるけど、それこそが攻撃者の思うツボなんです。
アイデンティティ窃盗リソースセンターによると、中小企業の81%が過去1年間にセキュリティ侵害および/またはデータ侵害を受けたという数字が全てを物語っています。これ、10社中8社ですからね。
費用対効果を考えた現実的な対策
とはいえ、つくばの中小企業に大手企業と同じセキュリティ対策をしろとは言いません。現実的に考えましょう。
フォーチュン500のセキュリティチームと同等になることは非現実的かもしれないが、基本的な脆弱性を強化することで曲線の先を行き、攻撃者にとってのターゲットになりにくくすることができるんです。
具体的には：
- 二要素認証の導入 – もう必須です
- 従業員の個別アカウント作成 – 各従業員は個別のアカウントを持つべきで、管理者権限は制限すべき
- 退職者のアカウント即座削除 – 退職するスタッフは退職した日のうちに削除すべき
解決策は華やかではないが効果的なものばかり。派手なツールを買う前に、基本をきっちり固めることから始めませんか？
現場で見えてきた変化
実際にRESONIXで支援してきた中で感じるのは、現在のサイバーセキュリティトレンドは一つの大きなツールを購入することよりも、日常的なリスクを減らすことに関するもので、これをうまくやっている企業はセキュリティを別のプロジェクトとしてではなく、仕事を進める方法の一部として扱っているということ。
つまり、セキュリティって特別なものじゃなくて、普段の業務に組み込んじゃうのが一番ってこと。経理担当者には「こんな請求書詐欺があるよ」、営業担当者には「SNS経由でこんな攻撃があるよ」みたいに、実際のワークフローに結び付いた職種別の訓練が効果的です。
承認フローが命綱になる
支払い、アカウント変更、機密ファイルアクセスの承認ワークフローは、信頼できる電子メールだけではもはや信頼できないため、これまで以上に重要になりました。
どんなに完璧に見えるメールでも、お金が動く案件は必ず電話や対面で確認する。この一手間が会社を守ります。手間に感じるかもしれないけど、1回騙されたら失う金額を考えれば安いもんです。
つくば市の中小企業なら、まずは基本的なセキュリティ対策から。大げさなシステムじゃなくても、日々の業務の中でできることから始めてみてください。気になることがあれば、RESONIXでも相談に乗りますよ。
