採用コラム採用現場におけるマルウェア「Emotet」の脅威とその対策

Emotetとは、2019年後半から話題となっている感染力が強いマルウェアの一種です。感染経路はメールで、あたかも実在の人物かのようになりすまし、例えば添付ファイルを開かせるなどで、より強力なマルウェア感染を狙うものです。

kaspersky社によると、Emotetに添付されているWordドキュメントにて悪意あるマクロの有効化を促す通知が、英語ではなく日本語で表示されるようになっています。このことから、攻撃者が日本を主な標的国の1つとしていることが分かります（kaspersky社2020年12月10日ブログ「2021年 サイバー脅威の動向予測：世界そして日本」）。

今後もEmotetによる被害は増加する傾向にありますが、採用の現場ではどんな影響があるのでしょうか。
ここでは、採用の現場であった実例を用いて、お伝えできればと思います。

本ケースでは、件名に記載の大学名、本文中の「送信者」のメールアドレスとも実在のものでした。本文も唐突感こそあれ、日本語の文章としては成立したものであり、多少不審に思ってもつい開いてしまいそうな文面です。
ところが、実際の送信者のアドレスを確認するとこれまで見たことのないものであり、これまでの文脈にも合いませんでした。関係者でも心当たりがある人がいなかったことから、なりすましメールと判断しています。

こちらは、件名・本文・添付ファイル名に、実在の大学ご担当者の名前が記載されているケースです。
件名だけを見て判断すると、何も疑わずにうっかり開いてしまう可能性があります。しかし本ケースでも、送信者のアドレスが見覚えのないものだったため、関係者に確認した上でなりすましメールだと判断しています。

こちらは、件名に実在の応募者の名前が記載されているケースです。（画像は個人情報保護の観点で載せておりません）
応募者の名前ということで、採用担当者としては実例2.以上に誤って開いてしまう危険性が高いものと思われます。こちらも送信者のアドレスが見覚えのないものだったため、当該応募者からのメールではなく、なりすましメールだと判断することができました。
いずれのケースも送信元アドレスを確認することで判断が出来ているので、添付ファイルやURLを開く前に送信元アドレスはしっかり確認された方が良いかと思います。

実際、筆者もEmotetと見られるメールが初めて届いたときは、実在の人物からのものか否か見分けることが難しく、注意して見なければ開いてしまってもおかしくなかったと思います。念のためと思い関係者に確認をし、そこで初めてウィルスメールだとわかったときは、その巧妙さに非常に驚き、恐ろしく感じました。
また、別の折には他のチームメンバーから同様のメールについて確認を受け、ウィルスメールと判断できたケースもあります。

Emotetに限らず、サイバー攻撃の手口はますます巧妙化しています。
セキュリティ上の脅威から少しでも自身・自社の身を守るには、どうすればよいのでしょうか。
NTT Communications社によると、「テレワークのセキュリティ対策では、『ルール』『技術』『人』の3つの要素をバランスよく強化していくことが大切」（ICT Business Onlineの記事「大規模イベントや非常事態を機にテレワークが普及 2020年以降サイバー攻撃への対策が急務に」）とのことです。
すなわち、1つの対策だけでは十分とは言えず、複数の観点で対策を練る必要があるということです。
特に、採用現場では社内・社外を含め複数人で業務に当たるケースも多く、チーム全員が高いセキュリティ意識を持っていることが必要です。
そのため、

といった対策と同じくらい、あるいはそれ以上に「人」の観点での対策が重要なのではないかと思われます。

いくらルールや技術を整えていたとしても、最後の砦となるのは「人」。
自分だけは大丈夫といった油断や思い込みを取り除けるよう、普段からセキュリティへの意識を高く持ち行動していく必要があるでしょう。