対応件数は増加　代表的事例を紹介

独立行政法人情報処理推進機構（IPA）は、一般的な情報セキュリティに関する技術的な相談窓口「情報セキュリティ安心相談窓口」を運用している。2024年第４四半期（１～３月）の相談対応件数は3225件、前年同四半期比では約22.６％増となっている。今四半期のうち相談窓口に寄せられた相談事例を紹介する。

【相談事例１】業務用パソコンでのサポート詐欺被害

（相談内容）社員がサポート詐欺の番号に電話して遠隔操作されたが、途中で不審に思い切断したので金銭被害はなかった。しかし遠隔操作をされたためパソコン内の機密情報漏えいが心配だ。調査はできないだろうか？

（回答）遠隔操作による情報漏えいの可能性を判断するポイントは以下の通り。

・パソコンが遠隔操作されている最中に画面から目を離したか？ ・パソコンに誰でも閲覧できる形で機密情報が保存されていたか？　

遠隔操作中の相手の動作は全て被害者側の画面上で確認できる。しかし遠隔操作の最中に「プリペイドカードを買いに行く」などでパソコンから目を離した時間があれば、パソコン内の情報を見られた可能性を否定できない。　被害に遭ったパソコンは、遠隔操作ソフトが残したログの解析などで、遠隔操作された範囲を後日調査できる可能性がある。情報漏えいの可能性が懸念され、調査を行う場合は、被害に遭ったパソコンは現状のまま保管することをお勧めする。

（対策）「業務で使用しているパソコンにトラブルが発生したときは個人で判断せず、まず組織のシステム管理者や上司に報告・相談して適切な指示を仰ぐ」というインシデント発生時の基本動作について社員教育を徹底する。

また、「業務用パソコンに機密情報を保管する場合はパスワード設定、暗号化など、閲覧を制限する手段を講じる」などの管理ルールを整備する。

認証方法の強化を　対応マニュアルも

【相談事例２】企業の公式ＳＮＳアカウントの乗っ取り被害

（相談内容）複数の社員で自社の公式ＳＮＳを運用していたが、アカウントがアクセス不能となり、不正な投稿をされてしまった。

（回答）アカウントを乗っ取られた場合は、サービス事業者のサポート窓口にヘルプページ経由で連絡してアカウントを取り戻す手続きを申請する。また、ウェブサイトなどの他の媒体で「公式ＳＮＳが乗っ取られている」旨の、被害の拡大を防止する注意喚起を行う。

寄せられる相談では、アカウント乗っ取りをサービス事業者に通知しても、「返事がなかなか来ない」「乗っ取りと認めてもらえない」など、時間と手間がかかっている事例を確認している。「アカウントを乗っ取られないための対策」を実施することが大切である。　

（対策）アカウント乗っ取りを発生させないため、強固なパスワードや多要素認証（二段階認証）の設定など認証方法を強化する。　

また、複数の社員でアカウントを共有している場合、定期的にアカウント使用者の棚卸しを行うとともに、全員が適切なアカウント管理や運用を行っているか、定期的に確認する。　

加えて、アカウント乗っ取りに対処するため、サービス事業者への通報や想定される対処方法、注意喚起の告知手段など「ＳＮＳアカウント乗っ取り発生時の対応マニュアル」を整備しておく。　相談事例を参考に、自社の対策の整備・見直しを進めてほしい。

（独立行政法人情報処理推進機構・江島将和）

「情報セキュリティ安心相談窓口」についてはこちら