相手が本人か確かめる。なりすましと自社サイトの改ざん

「口座が変わりました」というメールが、いつもの担当者の名前で届きます。文面も署名も、これまでと同じ形です。違うのは、振込先の番号だけでした。

相手が本人かどうかを確かめる手段を、普段は持っていません。名乗られたら信じています。ここでは、電話とメールで来た相手を確かめる手順と、その手前にある問題、つまり自社サイトが改ざんされて連絡先が差し替えられていないかを見る方法を並べます。どちらも、小さな会社ほど狙われます。

確かめる基準を先に決めておく

その場で判断すると、急かされたほうに負けます。

金額でも、内容でもいい。ここを超えたら必ず別の手段で確かめる、という線を一本引いてください。線があると、確かめること自体が失礼にならなくなります。「決まりなので」と言えるからです。

線が無いと、確かめる行為が相手を疑う行為になり、言い出しにくくなります。だから通ってしまいます。

別の経路で確かめる

同じ経路で確かめても意味がありません。

メールで来た変更は、メールの返信で確かめない。返信先まで書き換えられていることがあります。以前から知っている電話番号にかける。これだけで、なりすましのほとんどは止まります。番号は、来たメールの署名からではなく、自分の手元の名簿から拾ってください。

電話で来た依頼も同じです。かかってきた番号にかけ直すのではなく、こちらの控えにある番号にかけ直します。

自社サイトの表示が書き換えられていないか

意外に見落とされるのが、自分の側です。

問い合わせ先や振込先を自社サイトに載せているなら、そこが書き換えられれば、こちらが加害者側になります。取引先は正しい手順で確かめたのに、確かめた先が偽物だった、という形です。毎日自分のサイトを開いて確認している人は、まずいません。

Webセキュリティサービス【SiteLock（サイトロック）】をご入力下さい。 のようにサイトの改ざんを継続して見張り、マルウェアが仕込まれたら知らせてくれる形にしておくと、なりすましの土台を先に潰せます。脆弱性の診断まで含むものなら、書き換えられる前の段階で手を打てます。

不審なメールの見分けは、文面ではなく手順で

日本語が不自然だから分かる、という時代ではありません。

文面で見分けようとすると、いつか外します。「急いでいる」「いつもと違う手順を求めてくる」「その場での判断を迫る」。この三つが揃ったら、内容にかかわらず一度止める。人ではなく手順で止めるほうが確実です。

添付やリンクを開いてしまった場合に備えて、端末の対策も要ります。ウイルスへの感染に気づくのは、たいてい何日も後だからです。

社内で共有する先を一つに決める

気づいた人が黙っていると、次の人が同じものを踏みます。

「変なメールが来たら、ここへ転送する」という宛先を一つ決めてください。判断できる人がいなくても構いません。集まるだけで、同じ文面が複数人に届いていることが分かります。分かれば注意喚起が一斉に出せます。

止めるのは、疑いの段階で構いません。後から違ったと分かっても、誰も困りません。

サイトを置く場所も一度見直す

同居している他人のサイトが原因で、こちらが止まることがあります。

安い共用の環境では、隣で起きた不正アクセスの影響を受けることがあります。問い合わせフォームや会社情報を置いているなら、そこが読めない時間は営業が止まっているのと同じです。mixhost のように一社で占有できるクラウドのレンタルサーバーへ移せば、隣の影響を受けず、入れる人も自分たちだけに絞れます。

移すかどうかは、止まったときに困る度合いで決めてください。困らないなら、そのままで構いません。

社外から作業する人の確認も同じ

離れて働く人が増えるほど、顔を見ないやりとりが増えます。

在宅の相手に口頭で伝えられないぶん、文字だけで判断する場面が増えます。チャットの名前は変えられますし、退職した人の口座が生きていれば、そこから話しかけることもできます。金額や権限が絡む依頼は、文字だけで完結させないと決めてください。

外部に手伝ってもらっている相手なら、連絡してよい経路を契約の時点で一つに決めておきます。決めておけば、それ以外から来た依頼は、その時点で怪しいと分かります。

記録の残し方

確かめた事実が残っていないと、後で揉めます。

いつ、どの番号に、誰にかけて、何を確認したか。四行で足ります。表計算でも紙でも構いません。この記録があるだけで、万一のときに「確かめていなかった」と言われずに済みます。

書く場所は一か所に決めてください。人によって残す場所が違うと、探せない記録になります。探せない記録は、無いのと同じです。

一人で仕事をしている人の確かめ方

相談する相手がいないぶん、線引きは自分で持つしかありません。

金額の線を決めて、それを超えたら必ず電話する。自分ひとりの決まりでも、決めておけば急かされたときに踏みとどまれます。取引先に「うちはこう決めています」と先に伝えておくと、確かめる電話が自然になります。

よくある質問

Q. 口座変更のメールが来ました。どう確かめますか。

A. メールの返信ではなく、以前から控えてある電話番号にかけてください。番号は届いたメールの署名から取らないでください。

Q. 文面で不審なメールを見分けられますか。

A. 見分けようとすると、いつか外します。急いでいる、手順が違う、その場で判断を迫る。この三つで止めてください。

Q. 自分のサイトが書き換えられていないか、どう気づけますか。

A. 毎日見るのは続きません。改ざんの監視と脆弱性の診断を任せて、変化があったときだけ知らせてもらう形にしてください。

Q. 疑わしいだけで止めてもよいですか。

A. 構いません。後から違ったと分かっても誰も困りません。止めない判断のほうが取り返しがつきません。

まとめ

確かめる線を先に引く。線があると、確かめることが失礼になりません。

来た経路とは別の経路で確かめる。番号は自分の控えから拾います。

自社サイトの連絡先が改ざんされていないかを見張る。こちらが加害者側になる形を先に潰します。

不審なメールは文面ではなく手順で止める。転送先を一つ決めて共有します。

確かめた記録を四行残す。揉めたときに効きます。