この記事は以下のような人を対象としています。
・「最近、フィッシング詐欺が流行っているみたいだけど、私立学校も関係あるのかな」と思っている人
最近、一段とフィッシング詐欺に関するニュースを見かけるようになった気がします。
証券会社では、勝手に株を買われるという被害があり、その原因がフィッシング詐欺メールによるものではという旨の報道もあったと記憶しています。
そんな中、先日ついに私の勤め先である学校アカウントのメールアドレスにそれらしきものが届いたのです。
詳細は後述しますが、見れば見るほど普通のメールで、もし仮に個人あてに届いていたら被害にあってしまうのではないかと思えるような内容でした。
そこで、折角このようなメールが届いたので、注意喚起の意味も込めて内容を紹介しようと思った次第です。
私立学校にお勤めの皆さまの参考になれば幸いです。
【こんなメールに注意】学校に届いたフィッシング詐欺メールの詳細
早速ですが、届いたメールの内容から一部修正したものを以下に記載します。
同日に2通届いたので、2通とも掲載します。
どちらも、実在するクレジットカード会社の名前やサービス名が記載されており、メールアドレスは両方とも「inquiry@■■■■.com」となっていました。
私が「このメール何かおかしい」と感じたのは以下の3点からでした。
- 上述のメールアドレスの「■■■■」の部分が、意味の分からないアルファベットの羅列になっている。
- 私の勤め先の学校では該当するクレジットカードやポイントサービスを利用していない。
- 2通目の方は、メールの表題で「card」の綴りが「crad」になっていた。
こうした点に気づき、事なきを得ることができました。
しかし、実際に利用している個人に同様のメールが届いたとすると、そのままメールに記載のURLをクリックしてしまいそうな内容になっているという印象を受けます。
ちなみに私は1通目のメールに記載されているサービスを利用しています。
自分にこのメールが届いたらと思うと、不安を覚えました。
加えて、私が「巧妙だな」と感じたのが以下の３つポイントです。
- 1通目のメールに記載された「連絡先」を検索すると、有名な某カード会社のサイトが結果に表示される。
- 記載された数字も「29,803ポイント」や「15,000円」など、ちょっとありそうな値に設定されている。
- 「緊急」や「特別」、「限定数量」などこちらの気持ちを煽るような文言が使われている。
なお、このメールが届いたメールアドレスは一般には公開しておらず、取引先等と事務室がやり取りするために使用しているものです。
以上が、私の勤め先に届いたメールの概要となります。
【開くな、押すな】詐欺メールらしきものが届いた時の対処法
一応、私は「情報セキュリティマネジメント試験」というものに合格しています。
情報セキュリティに関する最低限の知識を身につけておくという観点からは、難易度も高くなくおすすめです。
そんな私から、こうした詐欺メールのようなものが職場に届いた際の対処法をお伝えしたいと思います。
と言いましても、結局ニュース等で言われているような対処法くらいしか、個人ができるものはない、というのが正直なところです。
その対処法とは「怪しいメールは開かない、開いても記載されたURLをクリックしない」ということです。
今回、私の勤め先に届いたメールも、本当は開かない方が安全です。
ただ、「私立学校アカウントのメールにもこんなメールが来るんですよ」という注意喚起をしたかったので、開封した次第です。
もちろん、開封前にあらゆる情報を確認して「これは開くだけなら問題ないものだ」というある程度の確信を持ったうえで行っております。
ですので、「基本は開かない」、開いたとしても「記載されたURLはクリックしない」
とにかくこのことを徹底すること。
また、学校アカウントのメールを複数の人が見ることができるようにしている場合は、他の方にもすぐに周知するようにした方がいいです。
まずは、被害が発生しないようにすることを優先しましょう。
ちなみに私の以前の勤め先では、情報設備等の運用・管理を担当する部署が教職員に対し、ランダムに迷惑メール的なものを送信し、それを開封した人は後日研修を受けるということを実施していました。
役職の高い人が開封してしまい、研修を受けていたといううわさもありましたが。
別の記事でも紹介しましたが「確実にこなさないといけないプレーを確実にこなせるチームが強い」という言葉が、情報セキュリティの面でもあてはまると思いますので、皆さんもこの言葉を意識してみることをおすすめします。
まとめ
- 「学校だから怪しいメールが来ない」ということはない。
- 怪しいメールはとにかく開かず、周りに連絡。そして開いてもURLはクリックしない。
- 情報共有で、チームとしての情報リテラシーをアップする
皆さんの勤め先にも、いつ詐欺メール等が届くかわかりません。
もうすでに届いたところもあるのではないでしょうか。
そうした対策として、資金に余裕がある学校であれば、お金をかけて機器やセキュリティサービスなどを導入することができるかもしれませんが、私の今の勤め先のような小規模校では、対応は困難です。
また、手口も日々巧妙化している様子ですので、ソフトやハード面からの対応はキリがないと思っています。
最終的には「人」の問題というのが、私の意見です。
いかに日頃から、情報セキュリティに対する意識を高められるかがポイントです。
個人レベルで資格取得などで知識を身につけ、それをどこかの機会で仲間にアウトプットする。
そういった仕組みを構築できれば、個人としても組織としてもリスク管理力の向上を図ることができると考えています。
最後までお読みいただきありがとうございました。
