巧妙化するサイバー詐欺の脅威と個人・組織で実践すべき多層的な防御策を表現したイメージ画像

サイバー詐欺の種類とリスクを徹底解説

巧妙なサイバー詐欺の手口と実践的な対策


著者: Milena Baghdasaryan
翻訳: 東條 百々朱

この記事はPowerDMARCのブログ記事 Cyber Fraud: Types, Risks, and How to Prevent It の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

主なポイント

  1. サイバー詐欺とは、メールやWebサイトなどのデジタル経路を利用して相手をだまし、金銭、データ、個人情報などを盗み取る犯罪です。
  2. 代表的な手口には、フィッシング攻撃、個人情報の盗難、クレジットカード詐欺、オンラインショッピング詐欺、ビジネスメール詐欺があります。
  3. 不審なメール、身に覚えのない請求、機密情報を求める依頼などは、サイバー詐欺の主な兆候です。
  4. 被害を防ぐには、強力なパスワード、多要素認証、従業員教育、定期的なセキュリティ監査などを組み合わせた対策が必要です。

サイバー詐欺は、デジタル時代において急速に拡大している脅威の1つです。
攻撃者は手口を巧妙化させながら、個人と組織の双方を標的にしています。
FBIのInternet Crime Complaint Center（IC3）は、最新のInternet Crime Reportにおいて859,532件の被害報告を受け付け、報告された損失額は160億ドルを超えたとしています。

これは、前年度と比べて33％の増加です。
これらの数字は、サイバー詐欺の被害規模だけでなく、犯罪者が新しい技術や脆弱性を悪用するために、手口を急速に変化させていることも示しています。
自身の資産を守る場合でも、顧客の機密情報を保護する立場にある場合でも、サイバー詐欺の仕組みや主な手口を理解することが、効果的な防御策を講じるための第一歩です。

サイバー詐欺とは？

サイバー詐欺とは、金銭をだまし取ったり、機密情報を盗んだりするために、メール、Webサイト、SNSなどのデジタル経路を利用して行われる詐欺行為です。
ハッキング、マルウェア、データ侵害などを含む一般的なサイバー犯罪とは異なり、サイバー詐欺では、被害者をだまして認証情報や金銭、システムへのアクセスに必要な情報などを自ら提供させます。
この違いは重要です。

ハッカーは、システムの技術的な脆弱性を悪用して侵入することがあります。
一方、詐欺師は、偽メール、フィッシングWebサイト、なりすましなどを使って人の心理を操ります。
どちらも重大な被害をもたらしますが、サイバー詐欺では、技術的な弱点だけでなく、人の判断ミスや心理的な隙が悪用されます。

サイバー詐欺の被害は増加しています。
2023年には、フィッシングが米国で最も多く報告されたサイバー犯罪となり、約30万人が被害を受けました。

同年には、世界で過去最多となる3,205件のデータ侵害が発生しました。
また、暗号資産を狙ったフィッシング攻撃だけでも、32万4,000人を超える被害者が約3億ドルを失っています。

一般的なサイバー詐欺の種類

個人がサイバー詐欺の被害に遭うと、個人情報を盗まれたり、銀行口座から資金を奪われたり、信用情報を不正に利用されたりする可能性があります。
企業では、フィッシング攻撃、不正送金、ランサムウェアなどによって業務が停止し、顧客からの信頼を損なう恐れがあります。

現在のサイバー詐欺には、さまざまな手口があります。
個人や企業に大きな影響を与えている代表的な詐欺手法を紹介します。

フィッシング攻撃

フィッシングとは、正規のメールやSMS、Webサイトを装って、受信者から機密情報を盗み取る行為です。
攻撃者は、信頼されている企業、政府機関、取引先、同僚などになりすまします。

そして、緊急性をあおり、悪意のあるリンクをクリックさせたり、添付ファイルをダウンロードさせたりします。
フィッシングの中でも、特定の個人や組織を狙う手法をスピアフィッシングと呼びます。

スピアフィッシングでは、不特定多数へ同じメールを送るのではなく、標的について事前に調査します。
実在するプロジェクト、同僚、取引先などの情報を盛り込み、信頼性の高いメッセージを作成するのが特徴です。
目的は、パスワードや金融情報を盗み取ることや、マルウェアを感染させることです。

個人情報の盗難

個人情報の盗難は、犯罪者が社会保障番号、生年月日、ログイン認証情報などを盗み、被害者になりすますことで発生します。
詐欺師は、入手した情報を使って、被害者名義でクレジット口座を開設したり、銀行口座へアクセスしたり、ローンを申し込んだり、不正な税務申告を行ったりします。

被害は、金銭的損失だけにとどまりません。
信用情報の低下、法的な問題、本人確認情報を回復するための長期的な手続きなどにつながる可能性があります。
多くの被害者は、自分が開設していない口座の請求書が届いたり、信用情報に身に覚えのない記録を見つけたりするまで、被害に気付きません。

クレジットカード詐欺

クレジットカード詐欺とは、盗まれたカード情報や複製されたカードを不正に使用し、商品を購入したり、現金を引き出したりする行為です。
詐欺師は、データ侵害、ATMやPOS端末に設置したスキミング装置、偽Webサイトへカード情報を入力させるフィッシング詐欺などを通じて、カード情報を入手します。
クレジットカード詐欺は、大きく2種類に分けられます。

1つ目は、物理カードを使用せず、オンライン上でカード情報だけを使うカード非提示型（CNP）詐欺です。
2つ目は、盗難されたカードや複製カードを実店舗などで使用するカード提示型詐欺です。

ECの普及に伴い、CNP詐欺は増加しています。
実店舗でICチップやPIN認証を回避するよりも、オンライン上の本人確認の弱点を悪用する方が容易な場合があるためです。

オンラインショッピング詐欺

オンラインショッピング詐欺では、偽のECサイトや不正な販売者が、魅力的な価格で商品を掲載します。
しかし、支払い後に商品を発送しなかったり、偽造品を送ったり、決済情報を盗んだりします。

こうした詐欺は、ブラックフライデーやサイバーマンデーなど、消費者が割引商品を探す時期に増加する傾向があります。
価格の安さに気を取られ、販売者やWebサイトの正当性を十分に確認しない人が増えるためです。
注意すべき兆候には、以下があります。

支払い後に商品が届かない、模倣品が届く、入力したカード情報が別の詐欺に悪用されるといった被害が発生する可能性があります。
このような詐欺が増えると、正規のオンライン事業者にも影響します。

消費者が、知名度の低い販売店との取引に慎重になるためです。
こうしたリスクに対応するため、オンライン小売業者では、取引監視、ドメイン認証、メールセキュリティ対策など、顧客が被害を受ける前に不正行為を検知・遮断する仕組みの導入が進んでいます。

ビジネスメール詐欺

ビジネスメール詐欺（BEC）は、攻撃者が経営幹部、仕入先、取引先などになりすまし、従業員に不正送金を行わせたり、機密情報を共有させたり、振込先情報を変更させたりする詐欺です。
BEC攻撃では、詐欺師が企業の組織構造、メールの書式、進行中の案件などを事前に調査することがあります。
代表的な手口には、以下があります。

メールが信頼できる送信者から届いたように見えるため、従業員が別の手段で確認せずに対応してしまう場合があります。
BECによる被害額は、毎年数十億ドル規模に達しています。
また、攻撃者が複数の国や地域にある口座を経由して資金を移動させるため、被害の発見や資金回収が難しいことも特徴です。

サイバー詐欺の警告サイン

サイバー詐欺を早い段階で見抜くことで、深刻な被害を防ぎやすくなります。
以下のような兆候に注意してください。

不審なメール
一般的な宛名、不自然な日本語、スペルミス、即時対応を迫る表現などが含まれているメールです。
個人情報の要求
正規の組織が、メールや突然の電話でパスワード、社会保障番号、クレジットカード情報などを求めることはほとんどありません。
身に覚えのない請求
銀行口座やクレジットカードの利用明細に、覚えのない取引がないか確認してください。
カードが有効か確認するため、詐欺師が少額決済を行う場合もあります。
不審なアカウント操作
依頼していないパスワードリセット通知、身に覚えのないログイン通知、自分が行っていない設定変更などです。
うますぎる話
極端に安い商品、応募していない懸賞の当選通知、見知らぬ相手からの相続や投資の話などには注意が必要です。

早期発見は非常に重要です。
詐欺を早く見つけて報告するほど、金銭的損失を抑え、被害の拡大を防げる可能性が高まります。

予防と保護のための対策

サイバー詐欺を防ぐには、安全な利用習慣、技術的な対策、継続的な警戒を組み合わせる必要があります。
個人と組織に推奨される対策を紹介します。

個人向けの保護対策

アカウントごとに異なるパスワードを使用し、多要素認証を有効にする
アカウントごとに異なる、推測されにくいパスワードを設定してください。
可能な限り、多要素認証（MFA）も有効にします。
MFAを利用すると、パスワードを盗まれた場合でも、追加の認証要素がなければアカウントへログインしにくくなります。
不審なリンクや添付ファイルを開かない
リンクをクリックする前にカーソルを合わせ、実際のURLを確認してください。
予期していない送信者から届いた添付ファイルは、開かないようにします。
正規の組織を名乗るメッセージであっても、メール内のリンクを使わず、公式サイトへ直接アクセスして確認する方が安全です。
金融口座や信用情報を定期的に確認する
銀行口座やクレジットカードの利用明細を定期的に確認し、不正な請求がないか調べてください。
個人情報の盗難を早期に発見するため、信用情報も定期的に確認することが重要です。
ソフトウェア、アプリ、デバイスを最新の状態に保つ
OS、ブラウザ、アプリケーションなどの更新が公開されたら、速やかに適用してください。
更新には、詐欺師や攻撃者が悪用する脆弱性への修正が含まれていることがあります。
外出先で機密性の高いアカウントへアクセスする際は、公共Wi-Fiの利用を避け、安全なモバイル通信を利用してください。

組織向けの保護対策

従業員へセキュリティ教育を実施する
定期的な研修を通じて、従業員がフィッシングメールを見分け、機密情報を求める不審な依頼を確認し、問題を速やかに報告できるようにします。
実際の攻撃を想定したフィッシングシミュレーションを実施することも有効です。
ファイアウォール、侵入検知、フィッシング対策ツールを導入する
技術的な防御を導入することで、攻撃が成功する可能性を下げられます。
PowerDMARCなどのプラットフォームを利用すると、DMARCの設定、レポート分析、監視を自動化できます。
リアルタイムアラートを通じて、メール詐欺やフィッシング攻撃の兆候を早期に把握しやすくなります。
メールと支払いに関する確認手順を定める
銀行振込や支払先変更には、複数人による承認を必須としてください。
機密情報や金銭に関する依頼は、メールだけで判断せず、電話や社内チャットなど別の連絡手段で本人確認を行います。
定期的な監査とセキュリティ更新を実施する
アクセス権限、利用中のアカウント、セキュリティ設定などを定期的に見直してください。
攻撃者に悪用される前に、設定ミスや不要な権限を発見して修正することが重要です。


取引先の審査も、サードパーティを経由した詐欺を防ぐうえで重要です。
取引先が増えるにつれ、セキュリティ回答やリスク情報を効率的に確認するため、DDQ自動化ツールなどを活用する企業も増えています。

サイバー詐欺対策における課題

サイバー詐欺への注意喚起が進んでいる一方で、攻撃者の手口は防御策を上回る速度で変化しています。
詐欺師は、分かりやすい詐欺から、人間心理を巧みに操る高度なソーシャルエンジニアリングへと手法を変えています。
セキュリティ対策が強化されると、攻撃者は新たな弱点を探します。

依然として大きな課題となっているのが、リスクに対する認識不足です。
多くの個人や中小企業は、自分たちが狙われる可能性を低く見積もっています。
そのため、被害が発生するまで警告サインに気付けないことがあります。

十分な教育が行われていなければ、基本的なフィッシングメールや偽Webサイトでも被害につながります。
リソース不足も課題です。
特に中小企業では、包括的なセキュリティ対策を導入するための予算、人材、専門知識が不足している場合があります。

また、国境を越えて行われる攻撃では、法執行機関が管轄権の問題に直面します。
詐欺が発覚した後も、資金の回収や犯罪者の特定、訴追には多くの時間と労力がかかります。

サイバー詐欺から身を守るために

サイバー詐欺を防ぐには、複数のセキュリティ対策を組み合わせることが重要です。
強力なパスワード、多要素認証、従業員教育、ファイアウォール、フィッシング対策ツールなどを活用してください。
組織では、複雑なセキュリティ運用を効率化できる自動化ツールも有効です。

例えば、PowerDMARCは、DMARCの設定、レポート分析、監視を自動化します。
リアルタイムアラートや管理機能を通じて、メールを悪用した詐欺への対策を支援します。
メールを利用した脅威から、自社ドメインとブランドを保護しましょう。

PowerDMARCは、組織がメール認証を効率的かつ継続的に運用できるよう支援します。
無料トライアルやデモを通じて、フィッシングメールやなりすましメールを受信者へ届く前に防ぐ仕組みをご確認ください。

よくある質問

サイバー詐欺とハッキングは同じですか？
いいえ。
サイバー詐欺は、人をだまして金銭や情報を提供させる行為です。

一方、ハッキングは、技術的な手段を使ってシステムやデータへ不正にアクセスする行為です。
ただし、実際の攻撃では、ハッキングと詐欺が組み合わせて使われる場合もあります。
サイバー詐欺の被害に遭ったかどうかを確認するにはどうすればよいですか？
銀行口座やクレジットカードの利用明細に、身に覚えのない請求がないか確認してください。
信用情報に、自分が開設していない口座や申請していないローンが記録されていないかも確認します。
また、依頼していないパスワードリセット通知、身に覚えのないログイン通知、設定変更の連絡などが届いていないか確認してください。