新聞記事やニュースで見つけた、個人的に気になった会計関係の話題をご紹介します。
加賀電子、米子会社が最大5億円の詐欺被害
加賀電子、米子会社が最大5億円の詐欺被害
2021/3/19 日経新聞電子版 エレクトロニクス
上記の記事では、加賀電子の米国子会社が詐欺被害に遭い、最大5億円の損失を出した可能性があるということが紹介されていました。
その内容とは、第三者による虚偽の送金指示を受けて経理担当者が資金を流出してしまったというものでした。
記事にも記載のあった過去の事例も紹介し、詐欺の手口について詳しく見ていきます。
経理社員を狙った詐欺手口
今回の加賀電子の記事では具体的な手口については記載がなかったため、2017年に日本航空で起きた同様の事件について紹介し、具体的な手口について記載します。
アドレス1字違い見逃す
日航3.8億円メール詐欺被害
2017/12/22 日経新聞電子版 ネット・IT
こちらの記事では、2017年に日本航空で発生したメール詐欺被害について具体的な手口について記載がありました。
経緯としては次の通りです。
- 日本航空と実在の取引先とのメールをハッキングし、取引内容と支払い手順を把握
- 取引先を装った、新たな入金先を通告する偽の請求メールを日本航空へ送付
- 入金後、即座に全額引き出して逃亡
このときには取引先からの未入金連絡があり担当者が調べた結果、普段と1字違うメールアドレスから請求書が届いていたことが判明しました。
送金時には複数人で確認していましたが、詐欺とは見抜けなかったそうです。
このケースは、添付ファイルを開かせてウイルスを起動させたり、不正なURLにアクセスさせるためのいわゆる「標的型メール」とは異なるものですが、実質的には同じものです。
支払担当者を狙ってメールを送付し、まんまとだまして大金を手に入れたわけです。
ちなみに、同年にスカイマークも同じ手口で詐欺に遭いかけており、振込手続きまで実施したものの口座がすでに凍結されていたおかげで未遂に終わったということも起きています。
スカイマークにも振り込め詐欺
金銭被害は免れる
2017/12/22 日経新聞電子版 BP速報
それくらい請求書が本物に酷似し、メール分にも違和感がなかったのだと思います。
詐欺被害を防ぐために経理社員ができること
正直に言うと、他の請求書が大量にある中や支払期限が迫っているときに支払先の変更の連絡が来たら、必ず見抜けるという自信はありません。
ましてや、ジョブローテーションがあったタイミングで本物とほぼ変わらない請求書を送られたりした際には見抜くのはかなり厳しいと思います。
ただし経理社員として意識しておくことで被害を受ける可能性を低くすることは出来ると思いますので、IPA（情報処理推進機構）が推奨している対策をご紹介し、普段からの意識付けのきっかけにしていただければと思います。
- 取引先とのメール以外の方法での確認
・振込先の口座の変更といった通常とは異なる対応を求められた場合は、送金を実施する前に電話やFAXなど、メールとは異なる手段で取引先に事実を確認する - 社内規程の整備
・「メール以外の方法での確認」といった手順を含む、ビジネスメール詐欺への対策を念頭に置いた電信送金に関する社内規程を整備する - 普段とは異なるメールやフリーメールに注意
・英語が母国語ではない国との取引の場合、多少間違った英語でのメールが着信したとしても不思議ではないが、その中でも普段とは異なる言い回しや表現の誤りには注意が必要
・フリーメールサービスから着信したメールについて、受信者向けに、件名や本文へその旨の注意喚起を追加するシステムを採用することにより、偽メールを見分け
やすくなる - 不審と感じた場合の組織内外での情報共有
・不審なメールなどの情報を集約することで他の担当者に届いた攻撃メールに気づくことができ、自組織に対する悪意ある行為を認識することで深刻な被害を防ぐことができる可能性がある
・ビジネスメール詐欺の場合、何らかの不審な兆候が取引先への攻撃を明らかにする可能性もあるため、取引先との連絡・情報共有も重要
・自組織を詐称したビジネスメール詐欺を認知した場合は、取引先全体あるいは一般に向けて注意喚起を公開することを検討 - ウイルス・不正アクセス対策
・「不審なメールの添付ファイルは開かない」、「セキュリティソフトを導入し、最新の状態を維持する」、「OSやアプリケーションの修正プログラムを適用し、最新の状態を維持する」といった、基本的なウイルス対策の実施が不可欠
・「メールアカウントに推測されにくい複雑なパスワードを設定する」、「他のサービスとパスワードを使い回さない」、「多要素認証を設定する」、「社外からアクセス可能なメールサーバやクラウドサービスを使用している場合、アクセス元を制限したり、不審なログインを監視する」といった、職員のメールを不正アクセスから守る対策が必要 - 電子署名の付与
・取引先との間で請求書などの重要情報をメールで送受信する際は、電子署名を付けるといったなりすましを防止する対策も有効 - 類似ドメインの調査
・自組織に似たドメイン名が取得されていないかを調査・確認するという対策がある
・ただし効果が限定的であると思われるため、費用対効果等を考慮して検討
（参考：IPAホームページ 「ビジネスメール詐欺「BEC」に関する事例と注意喚起（第三報） レポート 3ビジネスメール詐欺への対策」）
経理社員は仕事の範囲が広く気にしなければならないことが多くなってしまいますが、様々な事例を知ることが会社を守るための知識として蓄えられていきますので、食わず嫌いをせずにニュースを見るようにした方が良いと私は思っております。
