採用コラム

採用現場におけるマルウェア「Emotet」の脅威とその対策

はじめに

新型コロナウィルスが流行した激動の2020年が終わり、2021年がスタートして1ヶ月経ちましたが、依然として収束の兆しは見えてこない状況ですね。
そんな中、政府はテレワークの徹底を掲げ、それに呼応したように多くの企業でテレワークの導入が進んでいます。
パーソル総合研究所の調査(第四回・新型コロナウィルス対策によるテレワークへの影響に関する緊急調査、2020年11月実施)によると、第三波拡大期の「正社員のテレワーク実施率は全国平均で24.7%(原文ママ)」であり、約4人に1人がテレワークを実施していることが伺えます。

このようにテレワーク普及が着々と進んでいく一方、セキュリティの脆弱性に目を付けたかのように、サイバー攻撃の増加も確認されています。
情報セキュリティ会社kasperskyによれば、「2020年は、ランサムウェア感染が爆発的に増加した年として記憶されることになる(kaspersky社2020年11月11日ブログ「2020年のランサムウェア事情」)」とのことです。
中でも日本では特に、マルウェア「Emotet(エモテット)」の蔓延が深刻化しており、kaspersky社は2021年も拡散が続くと予測しています。
人事の扱う情報は、個人情報をはじめとした機密情報が多く、他の部署以上にセキュリティレベルが高いことが求められます。最新のシステムを導入することもそうですが、従業員一人一人がウィルスの脅威を知ることがセキュリティレベルを上げることに繋がります。

そこで今回は、

  1. Emotetとは何か
  2. 採用の現場ではどんな影響があるか
  3. どんな対策が打てるか

の3点でコラムをお届けしようと思います。

1. Emotetとは何か

Emotetとは、2019年後半から話題となっている感染力が強いマルウェアの一種です。感染経路はメールで、あたかも実在の人物かのようになりすまし、例えば添付ファイルを開かせるなどで、より強力なマルウェア感染を狙うものです。

kaspersky社によると、Emotetに添付されているWordドキュメントにて悪意あるマクロの有効化を促す通知が、英語ではなく日本語で表示されるようになっています。このことから、攻撃者が日本を主な標的国の1つとしていることが分かります(kaspersky社2020年12月10日ブログ「2021年 サイバー脅威の動向予測:世界そして日本」)。

2. 採用の現場ではどんな影響があるか

今後もEmotetによる被害は増加する傾向にありますが、採用の現場ではどんな影響があるのでしょうか。
ここでは、採用の現場であった実例を用いて、お伝えできればと思います。

実例1. 実在の大学の就職懇親会を装ったメール

本ケースでは、件名に記載の大学名、本文中の「送信者」のメールアドレスとも実在のものでした。本文も唐突感こそあれ、日本語の文章としては成立したものであり、多少不審に思ってもつい開いてしまいそうな文面です。
ところが、実際の送信者のアドレスを確認するとこれまで見たことのないものであり、これまでの文脈にも合いませんでした。関係者でも心当たりがある人がいなかったことから、なりすましメールと判断しています。

実例2. 実在の大学ご担当者からの案内を装ったメール

こちらは、件名・本文・添付ファイル名に、実在の大学ご担当者の名前が記載されているケースです。
件名だけを見て判断すると、何も疑わずにうっかり開いてしまう可能性があります。しかし本ケースでも、送信者のアドレスが見覚えのないものだったため、関係者に確認した上でなりすましメールだと判断しています。

実例3. 実在の応募者の名前が記載されたメール

こちらは、件名に実在の応募者の名前が記載されているケースです。(画像は個人情報保護の観点で載せておりません)
応募者の名前ということで、採用担当者としては実例2.以上に誤って開いてしまう危険性が高いものと思われます。こちらも送信者のアドレスが見覚えのないものだったため、当該応募者からのメールではなく、なりすましメールだと判断することができました。
いずれのケースも送信元アドレスを確認することで判断が出来ているので、添付ファイルやURLを開く前に送信元アドレスはしっかり確認された方が良いかと思います。

実際、筆者もEmotetと見られるメールが初めて届いたときは、実在の人物からのものか否か見分けることが難しく、注意して見なければ開いてしまってもおかしくなかったと思います。念のためと思い関係者に確認をし、そこで初めてウィルスメールだとわかったときは、その巧妙さに非常に驚き、恐ろしく感じました。
また、別の折には他のチームメンバーから同様のメールについて確認を受け、ウィルスメールと判断できたケースもあります。

3. どんな対策が打てるか

Emotetに限らず、サイバー攻撃の手口はますます巧妙化しています。
セキュリティ上の脅威から少しでも自身・自社の身を守るには、どうすればよいのでしょうか。
NTT Communications社によると、「テレワークのセキュリティ対策では、『ルール』『技術』『人』の3つの要素をバランスよく強化していくことが大切」(ICT Business Onlineの記事「大規模イベントや非常事態を機にテレワークが普及 2020年以降サイバー攻撃への対策が急務に」)とのことです。
すなわち、1つの対策だけでは十分とは言えず、複数の観点で対策を練る必要があるということです。
特に、採用現場では社内・社外を含め複数人で業務に当たるケースも多く、チーム全員が高いセキュリティ意識を持っていることが必要です。
そのため、

  • 不要なソフトウェアをインストールしない(ルール)
  • 最新化したセキュリティ対策ソフトを使用している(技術)

といった対策と同じくらい、あるいはそれ以上に「人」の観点での対策が重要なのではないかと思われます。

  • 不審なメールが届いたら、自分だけで判断せずすぐ他の人に確認・相談をする。
  • 自分も注意しつつ、チームとして注意できるような仕組みや意識づくりをする。

いくらルールや技術を整えていたとしても、最後の砦となるのは「人」。
自分だけは大丈夫といった油断や思い込みを取り除けるよう、普段からセキュリティへの意識を高く持ち行動していく必要があるでしょう。

最後に

3月の広報解禁以降、今以上に大量のメールを扱うことが見込まれる採用現場。
個人個人がセキュリティに対する意識を高く持つことはもちろん、チームで連携しながら対策を講じ、サイバー攻撃の脅威から身を守ることが必要だと感じています。本記事が、セキュリティ対策について振り返るきっかけとなれば、幸いです。

出典

パーソル総合研究所「第四回・新型コロナウィルス対策によるテレワークへの影響に関する緊急調査、2020年11月実施」
https://rc.persol-group.co.jp/research/activity/data/telework-survey4.html

kaspersky社ブログ「2020年のランサムウェア事情」
https://blog.kaspersky.co.jp/ransomware-incidents-2020/29540/

kaspersky社ブログ「2021年 サイバー脅威の動向予測:世界そして日本」
https://blog.kaspersky.co.jp/threat-predctions-for-2021/29722/

NTT Communications社ICT Business Online「大規模イベントや非常事態を機にテ レワークが普及 2020年以降サイバー攻撃への対策が急務に」
https://www.ntt.com/bizon/sec/telework-spread.html

この記事を書いた人

採用コンサルタント(採用支援事業部)
2015年に新卒でITコンサル企業で新卒採用担当として3年半勤務。
その後、2018年にレジェンダ・コーポレーションに入社。
IT・製薬・メーカーなど複数企業の採用支援に従事し、コンサルタント・アウトソーサーとしての経験を積む。
現在は複数のプロジェクトマネージャーを兼務し、「顧客の半歩先へ」を追求する日々である。

お問い合わせフォーム(お客様用)

※営業ご担当者様のお問い合わせはこちら

お問い合わせフォームの推奨ブラウザ以下の通りです。
Edge (最新ver)/Chrome (最新ver)/Firefox (最新ver)/Safari (最新ver)/Internet Explorer 11

お問合せフォームで送信できない場合は「こちら」よりメールにてご連絡ください。
担当より折り返しご連絡させていただきます。