「役職おじさんのうっかりで」…ITリテラシー低すぎ企業が陥る「ヤバすぎる末路」
日本企業が狙われているーー。
国立情報通信研究機構（NICT）によると、日本国内のネットワークへのサイバー攻撃関連の通信は年間6000億回を超える。アメリカに次いで世界第2位の数字だ。
サイバー攻撃の深刻化を受け、政府も動き出した。2025年5月には「サイバー対処能力強化法」が成立し、高市政権はサイバーセキュリティを国家安全保障の案件と位置づけた。重要インフラや政府機関のサイバー対策強化に向けたガイドライン整備も進んでいる。
しかし、民間企業の現実はそれに追いついていない。最先端セキュリティ製品の国産自給率は10%以下。防衛の大半を海外製品に頼る構造的な脆弱さが続いており、セキュリティ人材の不足も深刻だ。経済産業省の試算では、2030年までに最大79万人のIT人材が不足するとされている。
実際に、被害は起きている。
2026年4月「はてなブックマーク」で知られる株式会社はてなが、最大約11億円の資金流出被害を公表した。悪意ある第三者から虚偽の送金指示を受けた従業員が、実際に外部口座への送金を実行してしまったのだ。
また記憶に新しいのがアスクルだ。サプライチェーン攻撃を受けたことで物流システムが停止、オフィスの備品が届かないなど、企業の運営に支障をきたした。サイバー攻撃は、IT部門だけの問題ではなく、私たちの日常生活を直撃する現実の脅威になっている。
さらに専門家が警戒するのが、国際情勢との連動だ。イランと中東情勢が緊張する局面、ロシアのウクライナ侵攻が激化した時期--有事のたびに便乗したサイバー攻撃が世界規模で急増することが確認されている。地政学リスクは、もはやサイバー空間と切り離せない。
では、企業はどこから攻められているのか。AIサイバーセキュリティの訓練サービスを提供する「AironWorks（アイロンワークス）」の代表・寺田彼日氏は「攻撃の入り口の約9割は、人のミスです。システムの堅牢化は進んでいる。だから攻撃者は今、人を狙っています」と指摘する。
ランサムウェアも、情報漏洩も、その発端をたどると、社員が騙されたメールを開いた、怪しいリンクをクリックした、という「人の行動」に行き着くケースが圧倒的に多い。攻撃の手口がいかに高度化しても、発端は人的ミスなのだ。
「騙されやすい人」に、はっきりとした傾向があった
アイロンワークスは現在、イオンやJR九州など日本を代表する企業を含む1250社以上に、サイバーセキュリティの訓練・教育サービスを提供している。実際のサイバー攻撃のような疑似攻撃メールを社員に送り、その反応や対応を見ることで、社員ごとのセキュリティリテラシーを測り、それに応じた教育を施している。その膨大なデータから、ある傾向が浮かび上がってきた。
「成績が悪いのは、入社したての社員と、50代以上の管理職層であることが多い」と寺田氏は言う。
新入社員については、そもそも業務に不慣れなことが理由として挙げられる。こちらは、社内のルールや決裁フローを把握すれば、セキュリティに対する知識が身につくことも多い。SNSを含め、デジタルに慣れており、日頃から使いこなしている世代であることも、キャッチアップの速さに繋がっている。
だが問題は後者だ。50代以上の管理職層は、そもそもITリテラシーが不足していることが多い。そのため、明らかに怪しいメールなどにもついうっかりと反応してしまうことがあるのだ。
またその層は、会社の決裁権限を持つ層と重なる。つまり、攻撃者が最も狙いたい「お金を動かせる人」が、最も騙されやすいという構造になっているのだ。
さらに追い打ちをかけるのが、AIの進化だ。
「かつては怪しい日本語や不自然な文章がフィッシングメールの見分け方でした。でも今は通用しません」（前出の寺田氏）
ハーバード大学の研究（2024年）によれば、生成AIが作成したフィッシングメールのクリック率は54%に達した。一般的なメールのクリック率（約12%）と比較すると、4倍以上の数字だ。AIはLinkedInや企業サイト、プレスリリースから標的の情報を数分で収集し、本人の業務文脈に沿った「完璧な日本語」のメールを自動生成する。「攻撃の質と量が同時に上がった」と寺田氏は言う。
チャットツールという「新しい罠」
昨今急激に流行っているのが、ビジネスチャットツールを使ったサイバー攻撃だ。社長や役員を装ったアカウントから「至急チャットグループを作るように」などと命じる連絡が届き、それに従うとアウト。そのアカウントは乗っ取られてしまうという。
その後は、送金の指示が届き、担当者が従ってしまうなどの手口で、実際に不正送金が起こっている。金融メディア「ZUU」を運営する会社で、9600万円が不正送金される事件が起きたのも記憶に新しい。
「メールだけではなく、SlackやLINE WORKSといったチャットツールを使った詐欺が急増しています。社長の名義のメールだと、つい信じてしまう人もいるようです」と寺田氏は話す。
なぜ担当者は疑わなかったのか。そこには巧妙な心理的仕掛けがある。
「攻撃者は3つの要素を組み合わせます。緊急性、権威、そして秘匿性です。『至急』『社長から』『他の人には言わないで』--この3つが揃うと、人は確認を省略してしまうこともある」（同前）
さらに恐ろしいのは、ディープフェイク技術との組み合わせだ。2024年2月、香港の企業では、ビデオ会議に映った「CFO」が実はAIが生成した偽物で、担当者が約30億円を送金してしまうという事件が起こった。参加者全員が偽物だった。未来の映画のようなシチュエーションが、もう訪れている。
後編『西日本シティ銀行の情報漏洩は「自分ごと」…サイバーセキュリティのプロが解説する《リスク回避法》』では、日本企業がサイバー攻撃に特に弱い「もう一つの理由」と、今日からできる対策を、AironWorks代表・寺田彼日氏に聞く。
【つづきを読む】西日本シティ銀行の情報漏洩を「自分ごととして考える」…サイバーセキュリティのプロが解説する《リスク回避法》
