こんにちは。高知県高知市で情報処理支援機関として企業さまに伴走支援を提供している、株式会社ICUの川島です。

先日、当社のメールアドレスに「（業務連絡）株式会社ＩＣＵ」という件名のメールが届きました。差出人の表示名は「川島一寛」。本文には「今後の業務連絡を円滑にするため、LINEアカウントのQRコードと所属・役職を返信してください」と書かれていました。

もちろん、私は送っていません。差出人のアドレスを見ると、outlook.comのフリーメールでした。

こんなご相談がありました。

「社長の名前でLINE登録を求めるメールが届きました。情報が漏れたのでしょうか。」

あるお客さまからも同じメールについて相談を受けました。確認すると、文面は当社に届いたものと一字一句同じ。違うのは代表者名と会社名だけでした。結論から言うと、情報漏洩ではなく、手当たり次第に送りつけているパターンです。差出人のアドレスが自社のドメインでなければ、本人からのメールではありません。

なぜ社長の名前で、非公開のアドレスに届くのか

仕組みはシンプルです。会社のホームページには、代表あいさつや会社概要に代表者名が載っています。これを集めるのは難しくありません。

メールアドレスは推測で作ります。info@、mail@、contact@。企業で使われやすいアドレスはパターンが決まっているので、ドメインと組み合わせて片っ端から送ります。お客さまに届いたのはmail@宛てでした。サイトには載せていないアドレスですが、企業で使われていそうな名前です。当社の場合は、以前サイトに掲載していたアドレス宛てに届いていました。一度公開したアドレスは、どこかに収集されて残っています。

「代表者名＋推測したアドレス」をテンプレートに差し込んで、何百社にも一斉に送っている。私はそう見ています。届いたこと自体は、情報漏洩を意味しません。

「LINEくらいなら」が一番危ない

このメールで引っかかるパターンは、「とりあえずLINEだけ登録しておこう」です。メールの段階ではお金の話は出てきません。LINEでやりとりが始まってから、「急ぎで電子マネーを買ってほしい」「この口座に振り込んでほしい」という話に発展します。お金の話が出てきたら、それは詐欺です。

もうひとつ気をつけたいのは、差出人のアドレスです。当社に届いたものはフリーメールでしたが、お客さまに届いたものは、まったく関係のない会社の独自ドメインから送られていました。おそらくそのアドレスの持ち主も乗っ取りの被害者です。「フリーメールだから偽物」ではなく、「自社のドメインでなければ本人ではない」。これが判断の基準です。

届いたらやること、届く前にやっておくこと

まず、社内に「こういうメールが出回っている」と知らせてください。代表者の名前が書かれているので、社員が本物だと思って返信してしまうのが一番危険です。「社長がメールでLINEの登録をお願いすることはない」と一言伝えるだけで防げます。

お客さまや保護者など、ITにあまり詳しくない方と直接やりとりする業種では、「当社からメールでLINEやアプリの登録をお願いすることはありません」と先に一言伝えておくのも有効です。相手が同じメールを受け取ったときに「これは偽物だ」と判断できますし、こちらから先に知らせておくこと自体が信頼になります。

以前の記事でもこの手口を紹介しています。あわせてご覧いただくと、全体像がつかめます。

近くに相談できる相手がいること

今回、お客さまがすぐに相談してくださったおかげで、不安はその日のうちに解消できました。メールの正体がわかり、やるべきことが決まれば、あとは周りに知らせるだけです。

自分たちで言うのもなんですが、こういうとき近くに聞ける相手がいるかどうかは大きいと思います。
不審なメールの正体を調べて、やるべきことを一緒に整理する。ホームページやメールをお預かりしている以上、そこまでが私たちの仕事だと思っています。
気になることがあれば、いつでもお声がけくださいね。