正規権限を狙う偽警察官型ソーシャルエンジニアリング 企業の資金流出・情…
相次いで発生した2つの事案。いずれも、攻撃者は認証を突破しておらず、システムの脆弱性も悪用していませんでした。それでも、被害組織からは資金が流出し、機密情報が漏えいしてしまったのです。 近時、警察官や捜査機関を名乗る者が、対象者に「あなたに嫌疑がかかっている」「潔白を証明するために協力が必要である」といった虚偽の捜査協力要請を告げ、電話や通信アプリを悪用し、偽造された公的書類等の画像を用いて信頼させ、業務権限を行使させる事案が散見されます。このような方法は技術的な攻撃ではなく、権限を有する者の意思決定過程そのものを標的としており、本稿では「偽警察官型ソーシャルエンジニアリング」と呼ぶこととします。 偽警察官型ソーシャルエンジニアリングの本質は、対象者の意思決定を利用した「正規権限の悪用」です。攻撃者はシステムを突破するのではなく、権限を有する者にその権限を行使させます。そのため、認証強化や教育だけでは十分ではなく、技術統制、業務統制および人的統制を組み合わせた統制設計が求められます。また、そのような統制を有効に機能させるためには、経営陣による監督やリスク管理を含むガバナンスの整備も不可欠です。 本稿では、2026年に発生した2つの事案を素材として、「正規権限の悪用」という観点から、その課題ととるべき対策を検討します。
北條 孝佳
西村あさひ法律事務所・外国法共同事業 弁護士
