多くの企業や組織ではまもなく大型連休に入ります。一般に連休シーズンはセキュリティインシデントが発生しやすくなるものです。今回は、「休暇前」「休暇中」「休暇後」のパート別に従業員が行うべき対策と注意点を紹介します。

大型連休に起こりやすいセキュリティインシデントには次のようなものがあります。「従業員が持ち出した機器の盗難、紛失、マルウェア感染」「従業員が持ち出した業務データの漏えい」「企業内ネットワークへの不正侵入をきっかけとしたマルウェア感染と情報漏えい」「DDoS攻撃（標的のWebサイトに集中的にアクセスして大量の処理負荷を与えることで、サービスを停止に追い込む攻撃）によるサービスの停止や遅延」などです。長期休暇に入る前にあらためて対策を確認しておきましょう。

従業員が長期休暇に向けて行うべき対策として以下に8つの項目を示します。これらは、勤務先と自身をさまざまなセキュリティ脅威から遠ざけるために日頃から実践したい対策でもあります。

テレワークの普及で、Webメールやクラウドストレージ、Microsoft 365（旧Office 365）などのインターネットサービスがますます身近な存在になっています。ただ、利用者にとって見過ごせない問題になっているのがアカウントへの不正ログインです。その手口と対策を見ていきましょう。

不正ログインによる被害が後を絶ちません。サイバー犯罪者は他人のIDとパスワードを盗み出したり、探り当てたりすることで被害者のアカウントにログインし、情報や金銭を得ようとしています。

その代表的な手口がフィッシング詐欺です。これは、正規サービスのログインページなどを装った偽サイト（フィッシングサイト）にネット利用者をおびき寄せ、そこで入力されたアカウント情報（IDやパスワードなど）や個人情報、クレジットカード情報などを盗み出すものです。

サイバー犯罪者が標的をフィッシングサイトに誘導するために用いる主な手段はメールやSMS、SNSです。彼らは実在する企業や人物などを装ってもっともらしい内容のメッセージを送りつけ、受信者に不正なURLリンクを開かせようとします。実在する配送業者をかたって「不在のため持ち帰りました。配送物をご確認ください」などと呼びかける偽の不在通知メッセージはその典型です。

ある法人は、従事者の1人が配送業者をかたるスミッシング（SMSによるフィッシング）の被害に遭い、同従事者の私用のクラウドストレージ内に保管されていた名簿などの個人情報が第三者から閲覧できる状態になっていたことを公表し、謝罪しました。これは、そもそも個人で利用登録しているクラウドストレージを勤務先に無断で業務利用していたことが招いたトラブルの一例です。

社会人のなかにはつい勤務先への断りなしに私用のWebメールやクラウドストレージを利用し、取引先とファイルをやり取りしたり、業務データを社外に持ち出したりしている人もいます。しかし、こうした行為は勤務先を重大な危険にさらしてしまう可能性があることを知っておいてください。インターネットサービスの利用においては不正ログインによる情報漏えいのリスクがつきものだからです。また、情報漏えいは「フィッシング詐欺に引っかかり、アカウント情報を入力してしまったこと」が原因とは限りません。利用規約の確認不足や設定ミスなどの利用者の過失、サービス事業者の人為的なミスやサイバー攻撃などがきっかけで利用者の情報が外部に流出してしまうこともあるのです。

万一、勤務先の規程に反した行動で業務情報を漏えいさせてしてしまった場合、勤務先のブランドイメージや社会的信用を低下させることになります。勤務先が被害者への損害賠償責任を負うケースもあります。きっかけを作った人物の責任も問われることになるでしょう。

SNSアカウントを狙う攻撃も顕著です。Facebookでは「プロフィールの訪問履歴確認」という投稿からFacebookの公式ログインページを模したフィッシングサイトへ誘導する事案が確認されました。そこでIDとパスワードを入力してしまった場合、Facebookアカウントに不正ログインされる可能性があります。この手口のやっかいなところは、サイバー犯罪者が事前にフィッシング詐欺などで他人のFacebookアカウントを乗っ取り、本来のアカウント利用者になりすまして投稿することです。そのため、友人や同僚などのフォロワーは本人の投稿と思い込み、不正なURLリンクを開いてしまいがちです。

Microsoft 365を装って「現在設定しているパスワードの有効期限が切れるため、パスワードの変更か延長が必要」と呼びかけるメールを介して受信者をフィッシングサイトに誘導する事案も確認されています。誘導に乗ってしまった場合、サイバー犯罪者にMicrosoft 365のアカウントに不正ログインされ、業務情報を盗み見られたり、不正なメールをばらまかれたりする恐れがあります。

みなさんは企業の業務システムへの不正ログインと聞いたとき、外部からのサイバー攻撃を真っ先に想像するのではないでしょうか。しかし、内部関係者による犯行も少なくありません。ある自治体では職員の1人が職務上の権限で得た情報をもとに人事課職員向けの業務システムのIDとパスワードを推測。人事課職員専用のポータルサイトに不正アクセスして人事課所管のデータをのぞき見し、一部を自身の業務用パソコンに保存していたことが明らかになりました。結果、当該自治体は謝罪し、同職員に対して懲戒処分を行ったことを発表しました。

インターネットサービスアカウントへの不正ログイン被害を防ぐためにはどうすればよいでしょうか。5つのポイントを押さえましょう。

パソコンやスマホに突如「警告メッセージ」が表示されて慌てたことはありませんか。それは、警告表示に偽装した偽の通知かもしれません。通知が偽物の場合、不正なプッシュ通知や広告によるもの、あるいはマルウェア（ウイルスなど不正なソフトやプログラムの総称）や不正アプリが端末に入り込んでしまっているかもしれません。偽警告による被害を回避するポイントと、感染が疑われたときの対処法を紹介します。

パソコンでWebサイトを閲覧していると、急に「ウイルスに感染している可能性があります。」「ウイルスが検出されました」などという警告メッセージが表示される場合があります。これらは、OSやセキュリティソフトからの通知に偽装した偽警告の可能性があります。

「ウイルスに感染してしまったかも」と不安を覚えても、警告メッセージ内のボタンを不用意に押してはいけません。不正サイトに誘導される危険性があります。このような偽の警告は、機器の利用者に不安や焦りを感じさせることで冷静な判断を阻害し、サイバー犯罪者の思惑通りの行動を促す常とう手口です。誘導先の不正サイトでは、復旧に必要と称して迷惑ソフトをインストールさせられたり、サポート詐欺に誘導されたりする危険性があります。サポート詐欺は、偽のサポートセンターへ連絡するよう仕向け、実体のない有償のサポート契約を結ばせることでネット利用者から金銭や情報をだまし取る手口です。契約の手続きに入ってしまえば、名前やメールアドレス、電話番号、クレジットカードなどの情報を入力、送信させられるだけでなく、サポート料の名目で金銭をだまし取られてしまいます。スマホでも同様の手口が確認されているため注意が必要です。

偽の警告メッセージが表示される原因は大きく2つ考えられます。1つは不正なアドウェアです。アドウェアは、パソコンやスマホに広告を表示させるものです。不正なアドウェアをインストールしてしまった場合、望まない広告をしつこく表示されたり、広告から不正サイトに誘導されたりするかもしれません。不正なアドウェアをばらまく攻撃者の主な目的は、迷惑ソフトの販売やアフィリエイト（広告経由でネット利用者に特定のサイトへの誘導、ソフトやアプリをインストールさせることにより、その開発者から報酬を受け取る仕組み）、詐欺サイトへの誘導によって金銭や情報を得ることです。

もう1つは、不正なWebサイトからのWebプッシュ通知の受け取りをユーザが自ら許可したことです。Webプッシュ通知は、Webサーバ（Webサイト）側からWebブラウザへ任意のタイミングでメッセージを送信できる仕組みです。Webサイトによっては新着情報や重要なお知らせなどの配信においてこの仕組みが利用されることもあります。

ネットサーフィン中に以下のようなダイアログを目にしたことはないでしょうか。内容をよく確認せず不用意に「許可」「OK」「Allow」などのボタンを押してはいけません。不正なWebサイトに通知の表示を許可してしまった場合、詐欺サイトなどの不正サイトへの誘導を目的とする偽の警告メッセージを受け取ってしまう可能性があるためです。「ロボットでない場合は許可をクリック」という画像でCAPTCHA認証（応答者がコンピュータでないことを確認するために使われる認証方法）を装い、訪問者を惑わせるWebサイトも存在します。

このような表示から通知を許可してしまった場合、ブラウザの機能を使って偽の警告やメッセージが表示される可能性があります。

またiPhoneでは、カレンダー機能を悪用して偽警告を表示し、不正サイトに誘導する手口も確認されています。自身のアドレス宛に予定を追加される、あるいは外部のカレンダーをユーザが自ら照会対象として追加してしまった場合、不正な通知が届いてしまいます。
もし、iPhoneのカレンダーに不審なイベントが登録された場合、「身に覚えがない共有カレンダーを削除する」、あるいは「参加依頼を削除してスパム報告をする」のいずれかの対処を行ってください。照会カレンダーを追加してしまった場合は、該当イベントから「このカレンダーからサブスクリプションの登録を解除」をタップし、「登録解除」を行いましょう。

パソコンやスマホ利用者の中には、「マルウェアや不正アプリに感染しなければサイバー脅威に遭遇することはない」と考えている方もいるかもしれません。しかし、昨今のサイバー攻撃は正規の機能やサービスを悪用することも多く、だまされてしまう利用者が後を絶ちません。また、マルウェアや不正アプリに感染してしまった場合、明らかに挙動がおかしくなることもありますが、目立った症状が現れなかったり、存在を隠蔽されたりするケースもあることを知っておいてください。たとえば、特定の企業を狙う標的型サイバー攻撃において用いられる遠隔操作ツール（RAT）はその代表です。RATはメールなどを介して従業員のパソコンに入り込むと企業内ネットワークを探索し、目当ての情報を外部に送信したり、別のマルウェアをダウンロードしたりします。感染の発覚を遅らせれば遅らせるほど情報窃取という目的を達成しやすくするため、ユーザに感染を悟らせないように振る舞うのです。

メールや電話による問い合わせの一次対応、請求書の処理、取引先とのやり取り、担当上司やチームメンバーのスケジュール管理。このような日常業務の中にも情報漏えいやマルウェア感染、金銭窃取などのサイバー脅威が潜んでいます。一般事務やアシスタント業務従事者が注意するべきサイバー脅威と対策を紹介します。

サイバー攻撃は、企業の規模や地域、業種を問わない脅威です。あらゆる企業や組織が攻撃の標的であり、どの従業員が、いつ狙われるかわかりません。もちろん一般事務やアシスタント業務従事者もその対象です。ビジネスメール詐欺や標的型サイバー攻撃の実例を見ていきましょう。

ビジネスメール詐欺（BEC：Business E-mail Compromise）は、経営幹部や役員、取引先などを装ったメールを従業員に送りつけ、金銭や特定の情報をだまし取る手口です。たとえば、実在する取引先を装うメールに偽の請求書を添付し、「口座が変更になった」などと称して振込先の変更を依頼するパターンがあります。また、「緊急かつ極秘の取引」などと役員を装う文言で送金を促す手口もあります。

BECの手口に共通するのは、サイバー犯罪者が業務メールの盗み見やネット上の公開情報の調査をもとに標的企業で進行中の取引や人間関係などを把握し、信ぴょう性を高めたなりすましメールを仕立てることです。彼らは振り込みが発生する頃合いを見計らって実在する関係者になりすましたメールを送りつけてくるため、受信者は何の疑いもなく依頼を受けてしまう恐れがあります。

標的型サイバー攻撃は、従業員に送りつけられるメールが発端となる場合もあります。標的型サイバー攻撃は、特定の企業や組織が保有する個人情報や技術情報、機密情報、金銭を盗み出すことを目的とする一連の攻撃です。業務用クラウドサービスを装うフィッシングサイトに誘導して認証情報を奪ったり、従業員のパソコンにマルウェア（ウイルスなど不正プログラムの総称）を感染させて組織内ネットワークに侵入して情報を盗み出したりするのが典型的なパターンです。パソコン内の情報を暗号化して開けなくし、企業や組織を脅迫することもあります。

たとえば、実在する相手を装って「請求書」や「会議案内」など日常的にやり取りしているような内容のメールを送りつけ、受信者に不正なマクロを含むOffice文書ファイルを開かせる手口が確認されています。マクロは、WordなどのOfficeツールの標準機能で、事前に記録した操作内容や手順をまとめて実行させるものです。サイバー犯罪者はこの正規ツールを攻撃に悪用し、マルウェアに感染させようとします。ファイルを開き、メッセージバーの「コンテンツの有効化」をクリックしてしまった場合、不正なマクロが実行され、マルウェアに感染してしまうかもしれません。また、「あなたの組織へのなりすましメールを転送するので確認してほしい」などと外部からの問い合わせに見せかけたメールを送りつけ、受信者に添付ファイルの開封を促すこともあります。

サイバー攻撃の起点となるのはメールだけではありません。電話もその1つです。電話を受ける機会の多い一般事務やアシスタント業務従事者はヴィッシング（音声によるフィッシング詐欺）にも注意してください。これは立場や所属を偽ってもっともらしい要件を述べ、標的企業の従業員から情報を聞き出す手法です。たとえば、社内のシステム担当者になりすまして業務サービスのアカウント情報を尋ねたり、支社や海外拠点の同僚を装って連絡先を聞き出そうとしたりする例があります。転職エージェントによる引き抜き話や、投資の電話もむやみに信用しないでください。それらもあなたから組織の情報を聞き出すことが目的かもしれません。
また電話を使った手口の中には、受信者に偽の相談窓口などに電話をかけさせるリバースヴィッシングという手口もあります。実際、偽メールを介してもっともらしい名目の請求や無償期間終了などを通知し、偽のコールセンターに電話をかけさせる手口が確認されています。

オフィスワークにおいては関係者をCCやBCCに指定してメールを送信することがよくあります。たとえば、複数の顧客・取引先に対してイベントの案内やメールマガジンの配信、長期休暇の通知を行うケースを想像してみてください。すべての宛先をBCCに指定して一斉送信するべきところを誤ってTO（宛先）やCCで送ってしまった場合、すべてのメールアドレスが受信者に共有されてしまいます。

メールを利用する以上、誤送信のリスクはつきものです。宛先間違いや添付ファイルの選択ミスによる情報漏えいも起こり得ます。誤送信を防ぐツールやルールを導入している企業や組織も少なくありませんが、各自が日々意識することも重要です。

Microsoft Office（Word、Excel、PowerPoint）などで作成した文書ファイルを取引先関係者にメールで送る際は事前に文書の中身だけでなく、プロパティ情報（「作成者」「前回保存者」「タイトル」「件名」「タグ」「作成日時」などの属性情報）や非表示情報（「コメント」「変更履歴」「バージョン」「注釈」「隠し文字」など）も確認しましょう。うっかりそれらの情報が残された文書ファイルを社外に出してしまった場合、情報漏えいにつながるかもしれません。Microsoft Officeでは「ドキュメント検査」を使用することで文書ファイルに保存されている不要な情報を一括で削除できます。

アシスタント業務従事者にとって担当上司やチームメンバーのスケジュール管理は基本業務の1つです。グループウェアなどを利用し、会議室の予約や社内への予定共有を行っているのではないでしょうか。セキュリティの観点で徹底したいのは、予定表の開示範囲を必要最小限にとどめることです。予定表にはタイトルや場所だけでなく、会議の概要、Web会議用のURLや出席者など、サイバー攻撃のヒントになり得る情報が多分に含まれています。企業や組織では内部犯がサイバー攻撃に利用できる情報を探し回っている可能性もゼロではないのです。詳細情報はチーム内のみの共有にとどめるなど、開示範囲を定期的に見直しましょう。