金融機関を狙うサイバー攻撃の現実
先日、国内No.1ロボアドバイザーのウェルスナビが、なりすましメール対策としてDMARC（Domain-based Message Authentication, Reporting and Conformance）とBIMI（Brand Indicators for Message Identification）の導入を発表しました。
フォレンジック調査の現場で数多くの事例を見てきた私から言わせれば、この対策は「やっと」という感じです。なぜなら、金融機関を装ったフィッシング詐欺による被害は、想像以上に深刻だからです。
実際にあった被害事例
昨年、私が対応した中小企業の事例では、経理担当者が「銀行からの重要なお知らせ」というメールに騙され、偽サイトでネットバンキングの情報を入力してしまいました。その結果、わずか30分で運転資金500万円が海外に送金されてしまったのです。
個人のケースでも、証券会社を装ったメールから偽サイトに誘導され、投資資金200万円を失った事例もありました。これらの攻撃に共通するのは、なりすましメールが起点になっていることです。
DMARCとBIMIの実際の効果
DMARCの仕組み
DMARCは、メールの送信元が正しいかどうかを判断する技術です。簡単に言えば、「このメールは本当にウェルスナビから送られてきたのか？」をシステムが自動的に判定してくれます。
ウェルスナビの場合、7月中旬から、DMARCでなりすましと判断されたメールの送信を拒否するため、@wealthnavi.jpドメインを装った偽メールは届かなくなります。
BIMIの視覚的効果
BIMIは、メールの受信画面に送信元が指定したロゴを表示する認証規格です。ウェルスナビのアプリと同じデザインのロゴが表示されることで、正規のメールかどうかが一目で分かります。
なりすましメール攻撃の巧妙化
フォレンジック調査を行っていると、攻撃者の手口が年々巧妙化していることを実感します。
最新の攻撃手法
- ドメイン名の微妙な変更：wealthnavi.jpをwealthnavi.comに変更など
- HTMLメールの悪用：見た目は本物そっくりのメールデザイン
- 緊急性の演出：「アカウントが凍結されます」などの脅し文句
- 時間差攻撃：情報を盗んだ後、すぐには悪用せず数週間後に実行
実際の被害パターン
私が対応した事例では、以下のような流れで被害が発生していました：
1. 金融機関を装ったメールが届く
2. 「セキュリティ強化のため」などの理由で偽サイトに誘導
3. ログイン情報を入力させる
4. 多要素認証のコードまで入力させる
5. 即座に不正取引を実行
特に注意すべきは、多要素認証コードまで盗まれるケースが増えていることです。
個人が取るべき対策
基本的な対策
- URLの確認：メール内のリンクではなく、公式サイトから直接アクセス
- メールアドレスの確認：送信者のドメインを必ずチェック
- 緊急性に惑わされない：「今すぐ」「至急」などの文言に注意
- 多要素認証の設定：可能な限り多要素認証を有効化
技術的な対策
個人レベルでも、アンチウイルスソフト
の導入は必須です。最新のセキュリティソフトは、フィッシングサイトへのアクセスを事前にブロックしてくれます。
また、VPN
を使用することで、通信内容の暗号化と、悪意のあるサイトへのアクセス制限が可能になります。
企業が取るべき対策
メールセキュリティの強化
企業では、以下の対策が重要です：
- DMARC設定：自社ドメインのなりすましを防ぐ
- 従業員教育：定期的なセキュリティ研修の実施
- メールフィルタリング：怪しいメールを自動的に検出
- インシデント対応体制：被害発生時の迅速な対応
Webサイトのセキュリティ
自社のWebサイトが攻撃の踏み台にされないよう、Webサイト脆弱性診断サービス
を定期的に実施することが重要です。脆弱性が発見された場合は、速やかに修正する必要があります。
ウェルスナビの対策から学ぶべきこと
多層防御の重要性
ウェルスナビの今回の取り組みで注目すべきは、多層防御の考え方です：
- DMARC導入（なりすましメール対策）
- BIMI導入（視覚的な判別支援）
- 多要素認証の必須化
- 不正出金防止の仕組み
一つの対策だけでなく、複数の防御層を組み合わせることで、攻撃を防ぐ確率を大幅に高めています。
ユーザビリティとセキュリティの両立
BIMIの導入は、セキュリティを強化しながらも、ユーザーの利便性を損なわない優れた例です。ロゴが表示されることで、ユーザーは複雑な確認作業をしなくても、正規のメールかどうかを判断できます。
今後の展望と対策
攻撃の進化に対する備え
フォレンジック調査の経験から言えるのは、攻撃者は常に新しい手法を開発しているということです。DMARCやBIMIの導入は重要な一歩ですが、これで安心してはいけません。
継続的な改善の必要性
セキュリティ対策は一度設定すれば終わりではありません。新しい脅威に対応するため、定期的な見直しと改善が必要です。
- 脅威情報の収集：最新の攻撃手法を把握
- 対策の効果測定：実際に防げているかの確認
- 従業員の意識向上：継続的な教育と訓練
- 技術の進歩への対応：新しいセキュリティ技術の導入
まとめ
ウェルスナビのDMARC・BIMI導入は、金融機関におけるセキュリティ対策の新たな標準になるでしょう。しかし、これらの技術的な対策だけでは完全ではありません。
個人レベルでは、アンチウイルスソフト
とVPN
の導入、そして何よりも「疑う習慣」を身につけることが重要です。
企業レベルでは、Webサイト脆弱性診断サービス
による定期的なセキュリティチェックと、従業員教育の継続的な実施が欠かせません。
フォレンジック調査の現場で数多くの被害を見てきた私からすれば、「セキュリティにかかるコストは、被害を受けた時の損失に比べれば微々たるもの」です。
今回のウェルスナビの取り組みを参考に、皆さんも自分の環境に応じたセキュリティ対策を見直してみてください。
