クラウドサービス（Box、Backlog、Canvaなど）の普及により、業務の効率化が進む一方で、「社員の設定ミス一つ」「たった一通のフィッシングメール」から数億円規模の情報漏洩損害に発展するリスクが、いま民間企業で急増しています。
しかし、いざ社内セキュリティ研修をやろうとしても、以下のようなお悩みを抱える担当者様は少なくありません。
- 「専門用語ばかりの研修では、社員が退屈して聞いてくれない」
- 「毎年の研修資料をゼロから作る時間も、講師を雇う予算もない」
本連載では、日本の民間企業が今まさに直面しているリアルなリスクをもとに、そのまま社内研修の「講義台本」として使える構成で、全8回にわたりセキュリティの基礎を分かりやすく解説します。
本連載について
本連載は、現在STORESで販売中の『企業向け情報セキュリティ研修動画〜明日から実践できる、組織と自分を守るための「5つの行動宣言」と護身術〜』の講義内容を全編書き起こしたものです。
動画パッケージの5分間のサンプル動画をYouTubeで無料公開していますので、実際の分かりやすさやクオリティをぜひご確認ください。
- 民間企業向け情報セキュリティ研修パッケージ：55,000円（税込）
👇YouTubeでサンプル動画を視聴する
※「プロに直接講義してほしい」という組織向けに、講師派遣・リアル研修プランも承っております。
第4章：マルウェアの感染経路と「Emotet ＆ 二重脅迫」の恐怖
第4章では、私たちのパソコンやスマートフォンを人質に取る悪質なウイルス、『マルウェア』の正体に迫ります。
『自分は怪しいメールなんて開かないから大丈夫』。
そう思っている方も多いかもしれません。
しかし、現代のマルウェアは、皆さんが『100%安全だ』と信じ込んでいるルートを突いて侵入してきます。
かつて日本中の企業を大混乱に陥れた『Emotet』、そして現在進行形で企業を倒産に追い込んでいるランサムウェアの『二重脅迫』という2つの巨大な脅威について、その侵入経路と恐るべき手口を詳しく学んでいきましょう。
マルウェアの主な「3大感染経路」
そもそも、マルウェアはどのようなルートで私たちのパソコンに侵入してくるのでしょうか。
主な経路は3つあります。
1つ目は、『メールの添付ファイルやリンク』です。
請求書や履歴書、業務連絡などを装ったファイルを開いた瞬間、裏でプログラムが実行され感染します。
2つ目は、『悪意あるWebサイトや不正な広告』です。
仕事に必要な情報をインターネットで調べている最中に、改ざんされた普通のWebサイトにアクセスしてしまったり、表示された『ウイルスに感染しています！ここをクリックして駆除してください』といった偽の警告広告をクリックしたりすることで、裏で自動的にウイルスがダウンロードされます。
3つ目は、『USBメモリなどの物理媒体』です。
ウイルスに感染していることに気づかないまま、自宅のパソコンで使用したUSBメモリや私用のデバイスをオフィスのパソコンに挿したことで、社内ネットワーク全体にウイルスが蔓延してしまうケースです。
攻撃者は、私たちが日常的に行う『ファイルを開く』『ネットで検索する』『データを移す』という当たり前の動作を狙って待ち構えています。
Emotetが使う「本物のメール返信」の罠
その中でも、日本国内で猛威を振るい、数多くの企業を機能停止に追い込んだのが『Emotet（エモテット）』と呼ばれるマルウェアです。
なぜ、多くのプロのビジネスパーソンが騙されてしまったのでしょうか。
その理由は、Emotetが『あなたと取引先が、過去に実際にやり取りしていた本物のメール』を盗み出し、そのやり取りの『返信』を装って攻撃メールを送ってくるからです。
送信者の名前は、実在する取引先の担当者。
メールの件名も、昨日までやり取りしていたビジネスの件名。
本文も、前回のやり取りから自然に繋がる文章。
そして『先ほどの件の修正ファイルです。ご確認をお願いします』と、WordやExcelファイルが添付されている――。
これを見せられたら、誰もが『本物の取引先からの返信だ』と信じてファイルを開いてしまいます。
『取引先から届いたメールだから安全だ』という、これまでの常識が一切通用しないのが、Emotetの本当の恐ろしさなのです。
なぜ人は「コンテンツの有効化」を押してしまうのか
Emotetが添付してくるWordやExcelファイルを開くと、画面の上部に黄色い警告バーが表示され、『編集を有効にする』や『コンテンツの有効化』というボタンが表示されます。
本来、このボタンは『信頼できないマクロ（プログラム）の実行を止める』ための、Microsoftの強力なセキュリティ機能です。
ここをクリックしなければ、ウイルスには感染しません。
しかし、攻撃者はさらに罠を仕掛けています。
ファイルを開くと、画面に『このドキュメントは保護されています。プレビューを表示するには、上の「編集を有効にする」をクリックしてください』といった、本物そっくりの偽の案内画像が表示されるのです。
受講者の多くは、『中身を見るためにはこれを押さなきゃいけないんだな』と思い込み、自らの手で『コンテンツの有効化』ボタンを押してしまいます。
覚えておいてください。
業務中に社外から届いたWordやExcelファイルで、この『有効化』を求められたら、絶対に押してはいけません。
一度押してしまえば、裏でウイルスのダウンロードが完了し、あなたのパソコンは完全に支配されてしまいます。
ランサムウェアと卑劣な「二重脅迫（ダブルエクストーション）」
そして現在、企業が最も恐れているのが『ランサムウェア』による攻撃です。
ランサムウェアとは、感染したパソコンや社内サーバーのすべてのデータを勝手に暗号化して使えなくし、元に戻すことと引き換えに暗号資産（仮想通貨）などで『身代金（ランサム）』を要求するウイルスです。
さらに最近では、『二重脅迫（ダブルエクストーション）』というさらに凶悪な手口が主流になっています。
攻撃者はまず、社内システムから顧客データや開発データ、極秘の財務情報などを密かにすべて盗み出します。
その上で、社内システムを暗号化して人質に取ります。
そして彼らは、このように脅してきます。
『システムを復旧してほしければ金を払え。もし拒否するなら、盗み出した顧客情報や機密データをすべて、インターネット上の闇サイト（ダークウェブ）で一般公開する。』
『バックアップがあるからお金は払わない』と言える企業であっても、『顧客データや取引先の情報が世界中に晒され、大ニュースになる』と脅されれば、拒むことは極めて困難です。
この二重の罠によって、多くの企業が莫大な支払いや、それ以上の信頼失墜に追い込まれています。
第4章 まとめ
第4章のまとめです。
マルウェアの侵入は、メールだけでなく、WebサイトやUSBメモリなど、日常のあらゆる隙から発生します。
特に、実在のやり取りになりすます『Emotet』は、知らなければ100%騙される悪質な手口です。
WordやExcelを開いた際に表示される『コンテンツの有効化』ボタンは、絶対に安易に押さないでください。
そして、現代のランサムウェアは、システムを止めるだけでなく『データを世界中に晒す』という卑劣な二重脅迫を行ってきます。
一度感染してしまえば、企業の命運は攻撃者の手に握られてしまうのです。
続く第5章では、こうした脅威がさらに発生しやすくなる『テレワーク』や『外出先』、そして個人の行動が会社を危機に陥れる『SNS』のリスク、さらにはパスワード管理の新常識について詳しく解説します。
第4章、お疲れ様でした。
今回の記事（第4回）の内容を含め、全8回の講義を収録した「研修用動画パッケージ」を販売しています。
・資料作成や登壇の準備をゼロにしたい
・専門家による正確な情報を職員に届けたい
・研修の配布用スライドPDFも手に入れたい
そんな方は、ぜひ以下の販売ページをご確認ください。
また、クラウド認証ドットコムでは、 個別の情報セキュリティ研修（オンライン・対面） での教育支援を行っています。
「自庁の独自ルールを盛り込みたい」「職員の理解度を直接確認したい」といったご要望にお応えします。
専門講師が貴組織の課題に合わせたカリキュラムで登壇いたします。
■ 民間企業向け情報セキュリティ研修：連載一覧（全8回）
- 第1回：そもそも「情報セキュリティ」とは？
- 第2回：情報漏洩の致命的な代償と「法律」
- 第3回：狙われるのは「人の心」：ソーシャルエンジニアリングとメール
- 第4回：マルウェアの感染経路と「Emotet ＆ 二重脅迫」の恐怖
- 第5回：テレワーク・外出先・SNSに潜むリスク（物理的・人的脅威）
- 第6回：クラウドサービス誤設定の落とし穴
- 第7回：インシデント発生！その時あなたが取るべき「初動10分」
- 第8回：今日から守る！「私の5つの行動宣言」
