取引先がサイバー攻撃を受けた。その日のうちに自社で確認したい5つのこと

いつもの取引先から「不正アクセスを受け、現在調査中です」と連絡が届いたら、あなたの会社では誰が、何を確認するでしょうか。

「被害を受けたのは相手の会社だから」と、そのまま仕事を続けてしまうかもしれません。

しかし、取引先とメールやファイルをやり取りしている場合、自社にも確認が必要なことがあります。

取引先の被害が、そのまま自社の感染や情報漏えいを意味するわけではありません。大切なのは、慌てて判断せず、自社との関わりを一つずつ調べることです。

今回は、専任のセキュリティ担当者がいない中小企業でも取り組める、初動の確認項目を整理します。

1．届いた連絡が本物か、別の連絡手段で確かめる

最初に確認したいのは、被害の連絡そのものが本物かどうかです。例えば、次のようなメールが届いたとします。

「不正アクセスへの対応のため、下記のページから取引先情報を再登録してください」

これは説明用の架空の例ですが、事故対応を理由にIDやパスワードの入力を求められても、その場で操作を進めるのは避けましょう。

確認には、以前から登録している取引先の電話番号などを使います。届いたメールに書かれた電話番号やリンクだけを頼りにすると、確認先まで偽物である可能性があります。

IPAも、取引先とのメールを攻撃者に盗み見られている可能性を踏まえ、メール以外の連絡経路を確保するよう案内しています。

出典：IPA「もし詐欺被害に遭ってしまったら」 https://www.ipa.go.jp/security/bec/bec_tokusetsu_3.html

2．取引先と「何を共有しているか」を洗い出す

被害の連絡が本物だと確認できたら、自社との接点を整理します。

・メールで請求書や見積書を受け取っている ・顧客情報や従業員情報を預けている ・クラウドの共有フォルダーを共同利用している ・システムの保守作業を任せている ・自社のシステムに接続できるアカウントを発行している

例えば、メールのやり取りだけの場合と、自社システムへの接続を許可している場合では、確認すべき範囲が違います。

営業担当者だけで判断せず、経理・総務・システム担当者や保守会社にも確認しましょう。接続やアカウントの一時停止が必要かは、影響範囲と業務への影響を踏まえて担当者が判断します。

3．振込先変更や「急ぎの依頼」を確認する

取引先の被害を知ったときは、最近の支払い依頼にも目を向けましょう。特に確認したいのは、振込先の変更、通常と異なる送金依頼、認証情報の入力依頼です。

攻撃者がメールのやり取りを把握している場合、担当者名や取引内容を使って、自然に見える依頼を送る可能性があります。「相手の名前が合っている」「以前のメールが引用されている」だけでは、本人からの連絡と判断できません。

IPAは、取引先との請求書のやり取りなどを悪用するビジネスメール詐欺について注意を呼びかけています。

出典：IPA「ビジネスメール詐欺 FAQ」 https://www.ipa.go.jp/security/bec/bec_faq.html

振込先変更は、以前から把握している電話番号などで確認し、社内でも複数人で承認する運用にしましょう。すでに不正送金した疑いがある場合は、速やかに送金元の金融機関と警察へ相談してください。

4．自社で起きた操作と異常を記録する

取引先との接点が分かったら、自社で不審な操作や異常がなかったかを確認します。

「添付ファイルを開いた」「リンク先でパスワードを入力した」「身に覚えのない認証通知が届いた」といった情報は、判断の手がかりになります。

報告するときは、次の内容を整理すると伝わりやすくなります。

・いつ、誰が、どの端末で操作したか ・どのメールやファイルが関係しているか ・入力した情報や、画面に出たメッセージ ・その後、どのような異常が起きたか

不審な添付ファイルを確認のために開き直したり、社内へ一斉転送したりしないようにしましょう。メールや操作履歴などは、担当者の指示に従って保全します。

感染が疑われる場合は、社内の対応手順に従い、ネットワークからの切り離しなど被害拡大を防ぐ対応を進め、保守会社や専門家に相談します。独断での初期化は調査に必要な情報を失うおそれがあるため、避けましょう。

出典：IPA「中小企業のためのセキュリティインシデント対応の手引き」 https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_8.pdf

5．取引先の業務停止で、自社の何が止まるかを考える

自社に不正アクセスがなくても、取引先のシステム停止によって業務に影響が出ることがあります。例えば、受発注ができない、部品が届かない、出荷状況が分からない、共有データを参照できないといった状況です。

確認したいのは、「復旧はいつか」だけではありません。

今日中に必要な作業は何か。電話などで代替できる手続きはあるか。納期が変わる場合、誰が顧客へ連絡するか。こうした点を整理しておくと、業務への影響を具体的に把握できます。

ただし、急いで代替手段を用意する場合も、個人のメールや私物のクラウドへ顧客情報を移すなど、社内ルールから外れた対応を安易に始めないことが大切です。

朝礼で共有したい、今日の確認

取引先の被害を知ったとき、社員全員が原因を調査する必要はありません。まず必要なのは、不審な連絡を見分けようと一人で抱え込まず、決められた相手に報告することです。

今日の朝礼では、次の問いかけをしてみてください。

「取引先から『振込先が変わりました』とメールが来たら、何を使って確認し、社内の誰に相談しますか？」

答えが人によって違う場合は、確認方法と相談先を決める機会です。

また、すでに操作してしまった人が報告をためらわないよう、「間違えた人を責めるより、早く知らせてもらうことを優先する」という姿勢も共有しましょう。

取引先との信頼関係を守るためにも、日頃から確認できる連絡先と、社内の報告先を用意しておくことが大切です。