株式会社セキュアイノベーション
Menu

セキュリティコラム

  • セキュリティ教育

公開:2021.06.14 10:00 | 更新: 2022.08.17 04:11

メールによるセキュリティインシデントを防ぐ「標的型メール訓練」

メールを送信するとき

皆さんはお客様・クライアント様とのやり取りに郵便・FAX・電子メール(以下:メール)とどのツールを一番多く活用していますか?
弊社では圧倒的にメールを活用しています。お送りしてすぐに届く、送信履歴が追える等メリットが多いメールですが、誤って送信してしまう可能性が高いのもメールかと思います。
メールの誤送信も『情報漏洩』という「セキュリティインシデント」であり、私自身、毎回メール送信時にはドキドキしながら以下の項目を何度も確認しています。

  (宛先)
   →関係ない第三者を宛先に含めていないか
    To,CC,BCCの使い分けができているか
  (添付ファイル)
   →違うファイルを送っていないか
  (重要ファイルの取り扱い)
   →パスワードをかけているか、もしくはファイルを暗号化しているか
  (パスワードの共有)
   →メール本文とパスワードを別送する際、本文を引用していないか

このように、送信時に確認すべきポイントがいくつかあり、各項目をチェックするなど人為的なミスに気を付けることで防げる確率が上がるものとなります。

メールを受信するとき

一方で、メール受信時には「サイバー攻撃」の可能性があります。

  • 標的型メール
  • フィッシングメール(身近な脅威、フィッシング詐欺とは。)
  • ウイルスメール(Emotet、トロイの木馬など)

これらは新たなウイルスの感染、組織システム内へのウイルス拡散、情報収集、機密情報の外部への漏えい、システムの破壊といったメール送信時以上に「セキュリティインシデント」のリスクが高まります。最悪の場合、個人や社内での拡散にとどまらず、お客様・クライアント様へ被害を広げてしまう可能性も考えられます。

そのため、メールを使う個人個人がセキュリティ意識を持って業務に取り組めるよう、会社側はセキュリティ教育の一環としてメールによるサイバー攻撃についても周知する必要があります。

このメールは本物?(標的型メール攻撃)

攻撃メールにも複数あることを上述していますが、ここでは標的型メールについて確認したいと思います。
ここでは、特定の企業(組織)や個人を狙って、機密情報や知的財産、アカウント情報(ID、パスワード)などを窃取しようとするメール攻撃を指します。

下記のような事例があります。
 (製品やサービスに関する問い合わせ、クレーム)
   →知らない人からのメールだが、メール本文のURLや添付ファイルを開かざるを得ない内容
 (添付ファイルによる請求連絡)
   →既存の取引先企業からのメールのため、メール本文のURLや添付ファイルを開かざるを得ない内容
 (コロナ給付金再配布のお知らせ)
   →これまで届いたことがない公的機関からのお知らせ
 (組織全体への人事情報案内)
   →今までに流れた覚えのないメールだが、興味をそそられる内容

このようなメールがきたとき、皆さんはメールを開封するでしょうか。それとも標的型メールだと見分けられ、開封せずにいられるでしょうか。
また、見分けられる人とそうでない人の差はどこにあるでしょうか。
大きくは経験が影響する「セキュリティ意識」の違いとも言えますが、この意識を高める方法として「標的型メール訓練」は有用です。

筆者も前職で経験がありますが、特定期間中に『セキュリティ訓練を行います』と事前に通達が来るにも関わらず、訓練メールに引っかかってしまう人が一定数おりました。想定していたはずなのに、いざ目の前にすると難しいのです。火災訓練防災訓練しかり、メール訓練も何度も行って一人一人の意識を高めることが重要かもしれません。

標的型メール訓練サービス

弊社が提供する標的型メール訓練サービスとは、標的型攻撃を模した訓練用の疑似攻撃メールを従業員に送信して、疑似攻撃メールの開封結果並びに初動対応可否について教育、訓練するサービスです。マルウェア感染やビジネスメール詐欺(BEC)被害のリスクを低減し、インシデントへの対応力向上を図るだけではなく、組織全体のリスクコントロールの改善が期待できます。
「標的型メール攻撃」から企業の情報資産を守るためには、その攻撃の特性から、システムや機器などの「技術的対策」はもちろんですが、従業員に対する「教育対策」が重要となってきます。
ぜひ訓練を通して、従業員のセキュリティ意識向上を図ることをお勧めします。

サービスのご案内はこちらから
 →標的型メール訓練サービス

紹介ページ
 →IPAテクニカルウォッチ「標的型攻撃メールの例と見分け方

最新のコラム記事

LOADING...

セキュアイノベーション サービス一覧

ネットワーク・サーバー

Webサイトを守る