スマホ決済の不正利用、アカウント乗っ取り......情報セキュリティのプロが語る、個人情流出の“怖い話”

スマホ社会となった今、個人情報の流出により、インターネットサービスやアプリケーションでの「不正アクセス」や「アカウントの乗っ取り」といった被害は後を絶たず、サイバーセキュリティの重要性が高まっている。

前編では、映画『スマホを落としただけなのに』のストーリーをもとに、個人情報を守るための対策法を、情報セキュリティ対策の強化や優れたIT人材の育成に取り組む、独立行政法人情報処理推進機構（IPA）セキュリティセンター企画部の加賀谷伸一郎氏に解説いただいた。後編では引き続き加賀谷氏に、IPAの相談窓口に多く寄せられている相談事例と被害に遭わないための防止策について話を聞いた。

スマホ決済の不正利用、発端は“フィッシング詐欺”

――クレジットカードや電子マネーをスマホに登録して支払いを行う「スマホ決済」の普及も進んでいますが、便利な半面、危険だと感じている人も多いと思います。セキュリティ対策で心掛けるべきことは何ですか？

加賀谷伸一郎（以下、加賀谷）　昨年7月にセブン-イレブンのスマホ決済サービス「7Pay（セブンペイ）」で、第三者の不正アクセスによる不正利用被害が相次いだことを受け、経済産業省が、セブンペイを含む決済事業者に対し、不正利用防止のための各種ガイドラインの徹底と、セキュリティレベルの向上を求めました。その結果、現在では、安全なシステム環境が整ってきています。

しかしその一方で、不正の手口も日々進化しているのが現実。セキュリティが強固になる裏で、人間心理の弱点を突く詐欺的な手法が増えているんです。被害に遭わないために一番大切なのは、“最新の不正利用の手口を知っておくこと”。ニュースを見聞きし、騙しのテクニックを知ることが、被害防止対策につながります。

――不正利用の手口にはどういったものがありますか？

加賀谷　例えば、「PayPay」などのQRコード決済アプリを普通に使用している中では、第三者による不正利用はまず起こりません。なぜかというと、不正利用は「フィッシング詐欺」が関係しているケースがほとんどだからです。これは、通信事業者や決済事業者を装って、対象者にメールやSMS（ショートメッセージ）を送り、そこに記載された偽のURLにアクセスさせ、ユーザID、パスワードなどのアカウント情報を入力させ、ログイン情報や個人情報を盗むという詐欺です。

不正を働く者は、「キャリア決済が不正利用された可能性がある」など、イレギュラーなことが発生したことを装い、フィッシングサイトへのアクセスを誘導してきます。スマホ決済を利用する際は、正しいログイン手順を頭に入れ、いつもと違う手順を要求された場合や、不審なメッセージが届いたときはむやみにアクセスせず、アプリのサポートセンターに問い合わせるという心構えが、騙されないための重要なポイントかと思います。スマホ決済による不正利用の被害が多発していることから、近頃はアプリ公式サイトに「フィッシング詐欺にご注意ください」といった警告文が掲載されていることも多いので、そちらもチェックするようにしてください。

宅配便業者を装ったSMSに注意！

――そのほか、近年相談が多く寄せられている手口はどういったものが多いでしょうか？

加賀谷　最近では、「お客様宛にお荷物のお届けにあがりましたが不在のため持ち帰りました」などと、宅配便業者を装ったSMSが届いたという相談も多く寄せられています。これは、先ほども例に挙げたようにフィッシングサイトに誘導したり、偽のアプリをインストールさせることでスマホ内のデータを盗むという手口です。

パソコンの場合は単体でインターネットに接続することはできませんが、スマホは単体で通信ができ、通話機能もあるため、パソコンよりも利用率が高いんです。実際、「パソコンは使えないけど、スマホは使えます」という人も多いですよね。そのぶん、スマホ利用者はパソコン利用者よりもターゲットにされやすくなっています。

――近頃は、新型コロナウイルス感染症の流行により、テレワークを導入している企業も増えてきました。飲食店や公共施設でパソコンを広げている人も多く見受けられますが、社外で仕事をする際に気をつけなければならないことは何でしょうか？

加賀谷　企業側がどういうポリシーのもとでネットワーク環境やパソコン環境を整えて仕事をさせているかが前提にありますが、インターネットの通信内容はどこで見られているかわかりませんから、VPN（バーチャルプライベートネットワーク）通信という、暗号化された安全な通信路を使用することが、セキュリティ対策の基本です。

しかし、ネットワークやパソコン環境を整えること以前に気を付けなければならないのが、衆人環視の中で仕事をする際の“情報漏洩のリスク”です。フリーWi-Fiが使えるカフェや新幹線の車内などでも、パソコンを広げて仕事をしている人をよく見かけますが、「ショルダーハッキング（＝覗き見）」のリスクを意識していない人があまりに多いと感じます。画面を第三者に見られてしまうことは、一番脆弱な状態です。特にMacBookの場合、スクリーンが大きく鮮明ですし、スマホのカメラの性能も上がってきていますから、画面を隠し撮りされたら、情報漏洩につながってしまう。そういう危機感を持った上で行動していただきたいですね。

――あらためて、インターネット上で情報流出の被害に遭わないために気をつけるべきポイントを教えてください。

加賀谷　インターネット接続ができる端末を使用する上でのセキュリティ対策として、私たちが提唱しているのが、以下の5カ条です（https://www.ipa.go.jp/security/measures/start.html）。

（1）端末やアプリは、常に最新の状態にアップデートしておくこと
（2）ウイルス対策をしっかり行うこと
（3）パスワードはできるだけ長く、複雑に。同じパスワードを使い回さないこと
（4）端末はもちろん、SNSやアプリは初期設定のままの状態で使用しないこと
（5）被害事例や最新の手口を知っておくこと

なお、IPA公式サイトはもちろん、情報セキュリティ安心相談窓口公式Twitterでは、窓口に寄せられる相談をもとに、コンピュータウイルスや不正アクセス等の手口や対策に関する情報を発信しています。ぜひチェックしてみてください。

（解説＝独立行政法人情報処理推進機構・セキュリティセンター企画部・加賀谷伸一郎氏／取材・文＝サイゾーウーマン編集部）

加賀谷伸一郎　独立行政法人情報処理推進機構・セキュリティセンター企画部・エキスパート（サイバーセキュリティ担当）。情報セキュリティ対策の強化や優れたIT人材の育成に取り組んでいる。