情報セキュリティ人材の現状と考え方

総合研究部 上席研究員　佐藤栄俊

１．情報セキュリティ人材の現状と考え方

現在、情報セキュリティに従事する人材が世界規模で不足しているといわれています。セキュリティ対策における課題として、そもそも人材が不足しているということに加え、期待される役割や求められる知識・スキルについては、以前とはかなり変化してきています。今回の「情報セキュリティトピックス」では、こうした変化とそれに応じた取り組みについて考えるとともに、企業が求めるセキュリティ人材とは何を指しているのか、どのような人材が必要とされているのかについて整理していきたいと思います。

(1)セキュリティ人材は2020年に19.3万人不足するという予測

独立行政法人情報処理推進機構（IPA）が初めて国内における情報セキュリティ人材の需給状況に関する調査を公表した2012年において、企業で情報セキュリティ業務に従事する人材の推定数は23万人、不足数は2.2万人でした。それが、2016年に経済産業省が公表した調査結果では、2020年の必要数が56万人で、19万人が不足すると見込まれています。さらに、産業横断サイバーセキュリティ人材育成検討会が2016年9月に公表した報告書では、2016年時点で企業が必要とする情報セキュリティ人材を65万人と推計しています。

▼経済産業省「IT人材の最新動向と将来推計に関する調査結果」

このように情報セキュリティ人材への需要が急激に高まっている背景には、社会におけるITの利用、特にインターネットへの接続を前提としたサービスの利用が普及したことと、サイバー攻撃による被害が深刻化していることが挙げられます。「標的型攻撃」と呼ばれる、ターゲットとなる個人や組織をピンポイントで攻撃する巧妙な手口など、現在のサイバー攻撃は、同様の手法が情報や金銭を奪えそうなところに手当たり次第に適用されている状況に近く、インターネットに接続されている端末全てが攻撃の対象となっています。直近の事案でも、大手システムインテグレータにおけるランサムウェアへの感染、国立研究開発法人への不正アクセスによる情報漏えいが発生しており、情報セキュリティ分野の専門家を抱える組織であっても事故を防ぎきれないことが事実として示されています。たとえ1台の端末から得られる情報が断片的なもので、それ自体にほとんど価値がなくても、多くの端末から集めた情報をビッグデータ解析や人工知能（AI）による分析なりを通じて、企業の秘密情報や攻撃のヒントなど、価値ある情報を見つけやすくなったことも、こうしたサイバー攻撃の傾向を後押ししていると考えられます。

このような状況のなか、顧客向けにインターネットを介してサービスを提供している組織においては、インシデント対応が日常的な業務となっていることも珍しくありません。新たな脅威の動向についても情報収集を継続的に行わなければならず、こうした業務をこなせる人材は、前述の経済産業省の調査では、2016年時点で約1万人弱と推計しています。ネットワーク（通信）や各種OSの知識、およびシステムプラットフォーム、アプリケーション（Webアプリケーションを含む）の知識が不可欠であり、巧妙化しているサイバー攻撃と戦うためにはそれらの知識のみならず、少なくとも3年～5年の実務経験がないと実務レベルで活躍できるとは言い難く、19万人という数字はともかく人材が不足する（している）ということは的を射ています。大学等の教育機関で情報セキュリティを学ぶ機会を増やす取り組みは増加傾向にあるものの、こうした教育を修了した人材が社会で本格的に活躍するにはもう少し時間がかかり、情報セキュリティ人材の不足数の大幅な増加は、以上のような実態を反映しているものといえます。

一方、日経産業新聞 2018 年8月28日版に掲載された『セキュリティ人材、消えた「19 万人不足」』の記事では、『情報セキュリティ人材の不足を指摘する声が多いが、サイバー防衛の現場からは「不足感はない」との反論が多い。』との指摘もあります。このように、セキュリティ分野の人材不足が深刻化していると言われるもう一つの要因として、「セキュリティ人材の定義」が不明確な点があげられます。セキュリティに携わる人材は、最高情報セキュリティ責任者である担当役員の CISOから、セキュリティに特化した高度なスキルを有するホワイトハッカーまで様々であるにもかかわらず、セキュリティ人材として一括りにされています。

また、現在不足している人材の多くは、自社システムのセキュリティ確保を管理できる人材であり、セキュリティの専門家とは限りません。経済産業省も企業でのIT利活用人材において、セキュリティがわかる人材が足りないと報告しているにも関わらず、現状では、ホワイトハッカーのようなセキュリティ専門人材が不足していると一般的には解釈されています。

(2)脅威の昔と今の違い

以前は、ファイアウォールやアンチウイルスソフトなどに代表されるセキュリティ対策製品を導入することこそがセキュリティ対策でした。それらの製品は高い壁や厚い扉のようなもので、それらが設置されていれば、一定レベルの効果が得られました。その当時のセキュリティ対策とはそういうものであり、それでよかったのですが、それは今から10年以上前の話であり、現在のサイバー攻撃とセキュリティ対策の環境は大きく異なります。

インターネット黎明期の1990年代などには既にコンピュータウィルスなどは存在し、アンチウィルスソフトなどもすでにありました。セキュリティ対策の必要性なども、それなりに認知されていましたが、攻撃者のほとんどは興味本位の愉快犯であり、世の中に脅威を与えるほどのものでもありませんでした。現在ではサイバー攻撃が金銭目的化、政治目的化しており、効率的に収益を挙げるための世界的な「ビジネス」になっています。

ビジネスであるからには、さらなる効率を求めて分業もなされます。攻撃のターゲットや脆弱性を見つける役、マルウェアを作成する役、ターゲットに対して巧妙に不正侵入する役、その他にも専門的な役割が多数存在するはずです。それでもリソースが足りない時は、「ダークウェブ」などの闇市場から必要な情報や攻撃のためのツールなども入手することができます。もちろん、購入するだけでなく攻撃者の手元にある情報やツール類を売ることもできます。このダークウェブがサイバー攻撃をする者たちのエコシステムの役割を担っているであろうことは想像に難くありません。

これらのことは、もちろん推測の域を出ない部分もありますが、サイバー攻撃をビジネスとして考えれば、先述のようなスキームが機能していることは当然です。既にサイバー攻撃は、より高い収益を求めた組織によるビジネスになっており、攻撃力も以前とは比べ物にならないほどに強化されています。

このように、数年前と現在を比較した際に、IoT等のデジタル技術の普及に伴って、ITやセキュリティについての前提条件が変わってきました。企業にとっての”IT”とは、以前は、オフィス内の業務の効率化・省力が主な目的でした。現在ではそれに加えて、事業部門が主導して既存ビジネスのデジタル化を進める等、今や企業にとってのITはビジネスとしても位置付けられるようになってきました。そして、それに伴ってセキュリティ上の焦点も大きく変わりました。今までの主な焦点はオフィス内でしたが、これが、ビジネス化することにより、工場や子会社や委託先等ともITで密接に繋がるようになり、これらの部分も企業にとってのセキュリティの焦点として含まれるようになりました。つまり、守るべき対象が拡大してしまったのです。加えて、第三者による攻撃の目的も、単純ないたずら目的から、金銭の搾取や物理的な破壊等のテロ行為へと変わっていき、それに伴って脅威はどんどん巧妙化・複雑化していきました。これによって、企業にとって必要なセキュリティ人材像が変わってしまいました。今までは、企業・社会が求めるスキルは、ある程度画一的なものだったため、セキュリティ人材が保有するスキルが、それにマッチした状況が続いていました。しかし、現在は、前述のような背景もあり、人材に求めるスキルが各企業や組織によって固有なものになり、かつ、より複雑な「形」になってしまいました。これにより、これまでのセキュリティ人材のスキルではカバーしきれない領域が広がり、人材と市場ニーズがアンマッチな状況になっていると考えられます。

(3)組織に求められるセキュリティ人材

それでは、セキュリティ人材とはどういう人たちのことを指しているのでしょうか。「サイバー犯罪者を巧みに追い詰める、凄腕のホワイトハッカー」というイメージしやすいとこかもしれませんが、確かにこうした人材も活躍していますが、人数としてはごくわずかであり、国内企業の大多数で活躍する情報セキュリティ人材は、サイバー攻撃の監視や防御、インシデント対応や再発防止措置といった地道な作業を日々繰り返しています。セキュリティ人材と一言でいってもその領域は幅広く、日本ネットワークセキュリティ協会（JNSA）が2016年に公開した「セキュリティ知識分野（SecBoK）人材スキルマップ2017年版」では、セキュリティ人材の役割（ロール）を16に整理し必要なスキル項目を全体で400弱と具体化しています。

役割の表を見ていくと、「CISO（最高情報セキュリティ責任者）」や「情報セキュリティ監査人」など、聞きなじみのあるものに混じって、「脆弱性診断士」や「フォレンジックエンジニア」といった、自組織に必要なのか判断が困難なものが並んでいるのではないでしょうか。

▼日本ネットワークセキュリティ協会「セキュリティ知識分野（SecBoK）人材スキルマップ2017年版」

そもそも自組織に必要なセキュリティ人材モデルを明確に定義できていない組織が大半です。セキュリティ人材モデルが明確になっていない状態で、すべてをアウトソースしてしまったり採用や育成プランを検討したりしても、組織の特性を踏まえたセキュリティ対策が実現できないおそれがあります。

本スキルマップでは、役割ごとに「セキュリティベンダ職種」の記載があり、どういう専門業者にアウトソースすればよいのかが整理されています。中には「外部委託（アウトソース）しない前提」というのもあり、組織に適用しやすくなっていますが、役割をアウトソースした場合でも、その内容や結果の適切性については誰かが確認しなければなりません。もちろん、その確認もアウトソースすることが可能ですが、中長期で見た場合にセキュリティ業務の大半をアウトソースすることがよい結果になるかは判断が分かれるところです。

では、なぜセキュリティ人材モデルの定義ができていない組織が多いのか、理由はさまざまですが次のようなことが考えられるのではないでしょうか。

まず、前述したようにセキュリティ人材の専門性は非常に広範且つ複雑です。400弱から構成されるスキル項目を取捨選択し組織に備えていく必要がありますが、これらの中身を理解することから始めなければなりません。

また、自社のビジネスとセキュリティリスクの関連を明確にし、自社に必要な役割等を洗い出す必要があります。例えば、インターネットに接続できる機器を製造している会社であれば、データセンターに設置しているサーバやクライアントPCだけを守るのではなく、製造する製品のセキュリティ対策も考えなければなりません。

さらに、セキュリティ担当者が日々の業務に忙殺され、定義の整理や育成プランを考える時間がなく、セキュリティ対策が事後への対応のみになっており根本的な原因が把握されていないケースがよくあります。根本的な原因が不明であるため、その対策に必要な役割・スキルも明確にできないという問題になっているものと考えられます。

つまり、セキュリティ人材モデルを作成するにも、組織の状況を把握し相応のスキルを有したセキュリティ人材が必要ということです。人材あってのセキュリティ対策であるため、セキュリティ人材モデルと育成プランの作成を外部のコンサルタント等に支援を依頼するケースも増えています。人材育成には時間と費用がかかるため、中期セキュリティ戦略の中にセキュリティ人材戦略も組み込み、育成できるまではアウトソースを活用するといった企業も珍しくありません。

(4)セキュリティ人材不足の解消に向けた取り組み

国家資格として情報処理安全確保支援士制度の導入や産学官連携の教育の充実を促進するなど、国としてもセキュリティ人材充実に向けた動きは見られます。企業として、自社のセキュリティレベルを損なわず、また、人員数を出来る限り抑えながら人材不足の状況を改善する取り組みとして次のようなことが考えられます。

まず、やることとして推奨したいのが自社の“セキュリティ業務の可視化”です。セキュリティ業務は、次から次へと発生する新たな脅威に対して技術的な観点で迅速にキャッチアップしていく必要があり、「この製品のことはあの人しか分からない」等、運用管理業務が属人的になり易い傾向にあります。そうなると、特定の数名だけが“なぜか”忙しい状態に陥り、経営層は、人員補充をしようにも、その必要性が理解できない、という状況になってしまいがちです。このような“セキュリティ業務のブラックボックス化”を防ぐためには、セキュリティ業務全体のプロセスを可視化することが重要です。そして企業にとって求められるセキュリティレベルを維持していくためには、“どのような業務が必要なのか“を定義します。

また、企業にとって必要なセキュリティ業務を定義したら、次に“その業務を誰がやるのか”という人員配置戦略を考えます。選択肢は「社内人材」、「新規採用」、「アウトソース」、そしてシステム等を利用して人の手をかけない＝「自動化」の大きく4つに大別されます。セキュリティ業務や企業の特性、経営戦略に従って、これらをバランスよく選択することが重要です。

さらに、人材配置のためには、キャリアパスの整備が欠かせません。セキュリティ業務に就く人材確保のために、社内リソースを有効活用（ローテーションや配置転換など）する際、“この業務を通してどういうキャリアを積めるのか”というキャリアパスの整備および明示が重要です。多様な経験を積んだ高度なセキュリティ人材は、会社を選べる立場にあります。その際に、キャリアパスが整備されており、“この会社に勤めたらこういうキャリアを積める”と明示されていることは、企業を選択するときのポイントになり得ます。これらは“ヒト・モノ・カネ”に関わることであり、経営層の関与が欠かせません。経営層と橋渡しをする人材が中心となって、セキュリティ人材難を乗り切れるだけの戦略を練り、経営層に重要性を訴えることが求められます。

経済産業省の「サイバーセキュリティ経営ガイドライン」の後押しもあり、サイバーセキュリティの取組を“投資”として捉える考え方が、 企業にも浸透しつつあります。人材不足を嘆くだけではなく、経営層を巻き込んで戦略的に改善活動に取り組む姿勢が企業に求められています。

「2020年にセキュリティ人材が19万3000人も不足する」予測に対して、「担当者の数を増やすべき」という意見から「しかるべきスキルや能力を有する人を増やすべき」という意見まで、IT業界内にはさまざまな見解があります。実際に人数がもう少し多ければということはありますが、それ以上に必要なことは「質」を確保し、高めていくことが重要なのではないかと考えます。インシデント対応の現場でよく実感するのが、脅威が分かっても対応できないから何とかしてほしいという声は多く、現場での対応を指揮したり、管理したりできる人材がいないことが一番の課題だといえます。

社内外の人材によるチームワークをうまく回せるバランス感覚や調整力、コーディネートができる素質が重要になる一方、脅威の解析や理解あるいは対応の実務といった現場寄りの人材では、セキュリティとは異なる視点やスキル、経験を持っているかがポイントになります。

それと、従業員全員が、セキュリティの専門家である必要はありませんが、ITの安全な利活用のためには、従業員全員がセキュリティの重要性を理解しておくことも大事です。まずは、経営層が、サイバーセキュリティを企業の責任として捉えること。そして、セキュリティの重要性を率先して社員に訴えることです。そして、従業員は新しいサービスを創出するとき、または既存のサービスについてあらためて考えたとき、「セキュリティ面ではどういう課題があるのか」「どんな事故が起こりうるか」「事故対応の方法は」などを課題に加え、明確な対応方法を定めておくことも大事な視点です。

２．最近のトピックス

▼トレンドマイクロ
「法人組織におけるセキュリティ実態調査2019年版」

トレンドマイクロ社は、10月15日、「法人組織におけるセキュリティ実態調査2019年版」の結果を公表しました。本調査は、国内の民間企業や官公庁自治体といった法人組織を対象に、セキュリティのインシデント被害状況や対策状況などを把握するために行われた調査結果を公表したもので、同社は大きく2つのポイントを挙げています。

1つめは、「法人組織のセキュリティインシデント発生率」です。調査期間である2018年4月～2019年3月までの1年間で何らかのセキュリティインシデントを経験した法人組織の割合は57.6％で、前年(66.6％)から改善がみられたものの、依然として高い状況が続いています。特に発生率が高い業種は、中央省庁、都道府県庁、金融で、これらの組織は「行政に関する情報、個人情報や金融情報などの機密性の高い情報を多く取り扱っていることから、サイバー犯罪者に狙われやすいことが背景にある」と同社では言及しています。

また、他業種と比べセキュリティ意識が高く、対策が進んでいるために「サイバー攻撃を受けた場合に検知しやすいことも発生率の高さの一つだ」と推測しています。

インシデント別には、最も多かったのが「なりすましメールの受信」となっています。

また、遠隔操作ツール(2位)やランサムウェア(4位)など、ウイルス感染も上位に入っており、特に遠隔操作ツール感染の発生率は昨年調査から約1.7倍に増加しており、法人組織としてはこうした脅威への対策強化も急がれます。

2つめは「重要インフラのセキュリティの課題」です。医療や金融、製造、運輸・交通、インフラといった業種特有の環境におけるセキュリティインシデント発生率を見ると、水道・ガス・電力といった生活インフラサービス提供環境での発生率が50.0％と高い結果が得られています。これらの社会インフラ事業ではウィルス感染のインシデントが最多で、「ランサムウェアなどの、サービス提供に深刻な影響を及ぼす脅威が想定される」ということになります。

また、医療や金融など、機密性の高い情報を取り扱う環境においても、数多くのセキュリティインシデントが発生していることから、「業種特有環境におけるセキュリティの課題は依然として多い」と同社は指摘しています。

実際にサイバー攻撃が行なわれると、インシデントの発生するタイミングや攻撃の種類は攻撃者が選択するため、システムの管理者側では予測することが困難です。管理者側の知識や技術が不足している場合や、チーム編成の不備、準備や訓練が十分に行なわれていない、見積りが甘い、などの理由により攻撃を防ぎきることができない可能性があります。

また、標的となるのは、その多くが一般社員であり、十分な知識等をもっていない場合も少なくありません。そのためには、標的型攻撃の訓練や演習、アンケートを通じて、自社内でそのリスク（開封状況）を把握することも重要です。演習や研修、注意喚起を繰り返すことで問題点を抽出し、それを改善するとともに、インシデントの処理になれておくことで、組織全体でのサイバー攻撃への対応力を向上させることが、被害の拡大を未然に防ぐ意味でも重要だといえます。

▼トレンドマイクロ
「「App Store」と「Google Play」上で偽ギャンブルアプリが多数拡散」

トレンドマイクロ社は、10月15日、「App Store」「Google Play」というアプリ公式マーケット上で数百もの偽アプリを確認したとして、ブログで注意喚起しています。これらの偽アプリは、表面上は一般的な正規アプリのように見えるものの、実際のお金を賭けるギャンブルやカジノなどのリアルマネーゲームアプリの側面を隠し持っているとのことです。一部のアプリ概要欄では日本語が使用されているものもあったといいます。たとえば、アプリの概要欄では「世界の休日情報」を提供するアプリと記載されているものの、ダウンロード後にアプリを開くと、概要欄の説明とはまったく異なるアプリの内容が表示されるといったケースです。攻撃者は、正規のアプリになりすまし、これらの偽アプリを、利用者が気づかないうちにダウンロードするよう仕向けているとみられます。確認された偽アプリの一部は、App Storeのアプリランキングで100位圏内に入っており、評価が10万件以上に上ったものも確認されています。

同社の調査では、偽アプリはギャンブルアプリ画面を読み込むだけで、利用者に不利益を与えるような不正な活動は確認されていません。しかし、被害が確認されていないからといって、アプリが安全であるとはいえません。偽アプリはすでに削除されているということですが、同社は、偽アプリが公式マーケットの審査を通過した事実を重視しており、被害を未然に防ぐため、アプリをインストールする前にアプリの概要欄やレビューをよく読み、不審な機能や動作がないか確認するなどの対策を行うよう呼びかけています。

このようなフィッシングは、利用者を偽サイトに誘導し、金融機関などのサイトにログインするID、パスワードや、送金などの重要な処理に必要な情報を盗み出す詐欺行為です。アカウント情報が盗まれ「なりすまし」により不正送金やウィルス拡散などの犯罪行為の片棒を担がされる可能性もあります。このような脅威に対して、「知らない、(実態が)見えない、(被害に遭った)経験がない」ことで、多くの企業・個人が現実感を持てず、十分な対策をとれていないのが現状です。企業は、社内でフィッシング詐欺の手口や注意の必要性をアナウンスするとともに、セキュリティ対策の見直しと万が一被害に遭った場合の対処法を確認しておく必要があります。

▼内閣サイバーセキュリティセンター(NISC)
「政府のサイバーセキュリティに関する予算」

内閣サイバーセキュリティセンター(NISC)は、10月18日、政府のサイバーセキュリティに関する予算について発表しました。令和2年度の予算概算要求額は881.1億円となり、令和元年度当初予算額(712.9億円)から約168億円増加しています。最も予算が多かった施策は「システム・ネットワークの充実・強化」(防衛省)の176.5億円となっており、次いで「サイバーに関する最新技術の活用」(防衛省)の44.6億円です。前者は「陸上自衛隊が運用するシステム・ネットワークの状況を一元的に管理するシステム整備」、後者は「不正メール等の自動判別や脅威度の判定にAIを活用」と説明しています。

また、NISCの予算要求額は40.5億円で「不正な通信の監視・監査及びインシデントの事後調査等」「サイバーセキュリティ協議会の運用等」「2020年東京大会とその後を見据えた取組」「サイバーセキュリティに係る情報発信・意識啓発の方策の強化」「国際連携の強化」などが予算重点化方針として挙げられます。10億円以上の予算を計上しているのは11施策で、省庁別に概算要求額の割合を見ると、防衛省(27.0％)、総務省(17.6％)、経産省(13.5％)、文科省(5.6％)、警察庁(5.6％)、NISC(4.6％)の順となっています。

東京五輪のほか、インフラや仮想通貨（暗号資産）取引所など、標的は広範囲に及んでいる今、官民に関わらずより踏み込んだ取り組みや迅速な対策に当たる体制づくりが求められています。サイバー空間は目に見えなくても、身体、生命、財産、社会活動に対し、「目に見える脅威」だということをあらためて認識する必要があります。「守るべき情報に対する安全は、十分な配慮がなされているか」、組織規模に関わらず十分な対策が進んでいないところが攻撃者にとってターゲットであり、都合の悪い状況を生み出していないか自問する必要があります。政府含め企業も今後、全社的なリスク管理として、自社が十分な情報を管理するレベルを満たしているかどうか、自ら評価し律していくことが要求されています。

▼独立行政法人 情報処理推進機構(IPA)
「情報セキュリティ安心相談窓口の相談状況［2019年第3四半期（7月～9月）］」

独立行政法人 情報処理推進機構(IPA)は、10月25日、「情報セキュリティ安心相談窓口」の相談状況(2019年7月～9月)を発表しました。これは、2019年7月1日から9月30日の間に対応した相談に対する統計を紹介したものです。

本レポートによると、同窓口に寄せられた相談件数は2,925件と、前四半期から約10.7％減少しています。そのうち、相談員による対応件数は1,817件だったとしています。また、本レポートでは、主な手口に関する相談員の対応件数も発表されています。まず、ウィルスを検出したという偽警告で不安を煽り、電話をかけさせてサポート契約に誘導する「ウィルス検出の偽警告」に関する相談件数は326件で、前四半期から約6.3％減少しています。続いて、「ワンクリック請求」については、パソコンとスマートフォンをあわせた相談件数が90件となり、前四半期から約12.5％増加しています。また、「不正ログイン」に関する相談件数は64件で、こちらは前四半期から約20.0％減少、「宅配便業者をかたる偽SMS」に関する相談件数は、334件となり、前四半期から約27.2％減少しています。そして、「仮想通貨で金銭を要求する迷惑メール」については、95件の相談が寄せられ、前四半期から約4.4％の増加となっています。

最近、国内外でサービスを提供しているポータルサイト、ECサイトが相次いで不正ログインの被害に遭っています。攻撃者は、世界中で数十億件流出している使い回されたIDとパスワードを用いて正規の手順で不正にログインすることができます。対策として、生体認証や二段階認証などの仕組みが登場しているものの、すべて事業者がシステムの改修や投資に即踏み切れていないのが現実です。多要素認証は安全性の向上に繋がる一方、認証手順が増えるため利用者の利便性を低下させることになります。多要素認証の導入を単に推進するのではなく、扱う情報や資産の性質と、安全性や利便性のバランスを考慮して、サービスごとに適切な認証環境を構築する必要があります。また、利用者においては、極力サービスごとにパスワードを使いまわさないということであり、利用者側の意識の持ちようも重要だといえます。

３．最近の個人情報漏えい事故（2019年9月、10月）

下記の表は、今年9月と10月に発生した個人情報漏えい事故一覧です。会社や組織で公表されているもので、かつ当社で把握しているものであり、国内すべての事案というわけではない点につきましてはご了承願います。

※情報セキュリティに特化したニュースサイトであるSecurity Next、その他マスコミで報道されたものをまとめたポータルサイト、各行政や企業がWebサイトで公表したものを参考に当社作成。

「23」は、仮想通貨（暗号資産）を要求する日本語の脅迫メールで、全国的に「あなたのパソコンをハッキングした」「あなたがアダルトサイトへアクセスした姿をウェブカメラで撮影した」などと称して、撮影したデータの削除と引き換えにビットコインを要求するメールが出回っています。このような詐欺の手口は1年前にも多く確認されており、実際に被害も出ています。メールの内容が凝っていたためにプライベートな動画を知り合いにばらまかれてはたまらないと考えた人が多かった、さらに、データ消去と引き替えに要求された250ドルという金額が手ごろだった、ということから支払ってしまったのではないかと推察されます。一度成功した攻撃の手口は、利用者が忘れた頃に繰り返される傾向にあります。攻撃が下火になったとしても、利用者は継続的に注意を怠らないようにする必要があります。ネット詐欺においても、実社会の「振り込め詐欺」等と同様に、その手口を知っておくことが対策の一つになります。さらに、メールのフィルタリング機能やセキュリティソフトなどを利用し、なるべく不審なメールが手元に届かないようにするのも有効です。

メールの内容は複数のパターンが確認されていますが、特徴として以下の点があります。

• 「アダルトサイトを閲覧している姿を撮影し、連絡先情報を収集した」と脅す
  • 「あなたが見たアダルトサイトにウイルスを仕込んだ。」「それにより、あなたがアダルトサイトを見ている姿をウェブカメラで撮影した。「その後に、あなたの電子メールやSNSにある連絡先を収集した。」というような内容の説明がされています。
• 仮想通貨（暗号資産）を要求する
  • 「撮影されたあなたの映像を家族や同僚にばらまかれたくなかったら、ビットコインで5,000ドル（金額はケースによって異なります。）を支払え「支払えば、撮影した映像は即座に消去する」と記載されています。また、ビットコインを利用する際の口座番号に相当するビットコインアドレス等が記載されています。
• 送信元が自分のアドレスになっている場合がある
  • 送信先と送信元が両方とも自分の同じアドレスになっている場合がありました。これは送信時に差出人メールアドレスを詐称していると推察され、その様な詐称は技術的に可能です。迷惑メールのフィルタリングを回避することや、あたかもメールアカウントをハッキングしたと信じさせることが目的と考えられます。
• 自分のパスワードが記載されている場合がある
  • 実際に受信者がウェブサービス等で設定したことのあるパスワードが1つ、メールの件名や本文冒頭に記載されている場合がありました。「これがあなたのパスワードであることを知っている」というような説明がされています。相談では、そのパスワードは、現在使用中のものである場合と、そうではなく古いものの場合とがありました。これは、外部のサービスから何らかの原因でデータが漏えいし、それをもとに記載されていると考えられます。

セミナーや研修について

当社ではSNS利用上のリスクや情報管理（主に情報漏えい対策）に関して、セミナーや研修を企業・自治体・学校、病院等の分野で数多く実施しております。

セミナーや研修を通じて、新社会人（新入生）に限らず、全社的に教育を実施しインターネットの特性や情報リテラシーの理解、意識の向上を検討されている際は是非ご相談ください。

【お問い合わせ】

株式会社エス・ピー・ネットワーク 総合研究部

Mail：souken@sp-network.co.jp

TEL：03-6891-5556

• 情報漏洩
• サイバーセキュリティ
• 情報セキュリティトピックス