小田原エンジニアリング社員のメールに約5か月の不正アクセス。なりすましの入金指示で取引先に金銭被害

01発表されている事実

1. 3月27日〜8月31日

   第三者が当該アカウントに継続してアクセスし、メールを閲覧

2. 8月31日

   不正アクセスの痕跡を確認。パスワード変更と全セッションの強制ログアウトなどを実施

3. 9月15日

   公表。日本の個人情報保護委員会とドイツの監督当局に報告済み

閲覧が確認できたメールは約3,500通で、最も古いものは2018年に送受信されたメールです。アクセスした時点でメールボックスに残っていた過去のメールも、閲覧の対象になりました。件数は今後の調査で増減する可能性があります。取引先の健康状態などの機微な個人情報や、クレジットカード情報などが含まれていた事実は、発表の時点で確認されていません。

同社は、拠点外からアクセスするときの多要素認証の必須化、不正に使われたドメインとのメールの送受信のブロック、監査ログによる影響範囲の調査、ほかの社員のアカウントに同じ被害がないかの確認を行い、日次の監視を続けています。被害が出た取引先と連携し、ほかの取引先については被害の有無を個別に調べています。

02読者への影響

この手口は、ビジネスメール詐欺（BEC）と呼ばれます。本物のメールのやりとりを読んだうえで送られるため、案件名や金額、相手の名前がすべて正しく、受け取った側は疑いにくくなります。同社も、第三者は正規のやりとりを閲覧していたとみられるとしています。

03今すぐやること

1. 小田原エンジニアリングの名前で振込先口座・支払条件・担当者・連絡先の変更が届いたら、手続きを進めず、同社の窓口（管理部 総務グループ 0465-83-1129、dataprotection@odawara-eng.co.jp）に知らせる
2. 同社からのメールは、差出人のアドレスをドメインまで確かめる。心当たりのない添付やリンクは開かない
3. 同社はパスワード・認証情報・カード情報をメールや電話で尋ねない。尋ねられたら偽物として扱う
4. 身に覚えのない請求に気づいたら、同社の窓口に連絡する

04自社が同じ被害にあわないために

メールアカウントは、パスワードが盗まれると長いあいだ気づかれずに読まれ続けることがあります。今回も、気づくまで約5か月かかっています。社員全員のメールに二段階認証（多要素認証）を設定する、海外拠点や出向者のアカウントも同じ基準で管理する、振込先の変更は必ず電話など別の経路で確かめるという社内の決まりを作る、の3つが効果的です。送金してしまったときの対処は、図鑑の「被害にあったら」にまとめています。

05今後の発表

同社は、事態の全容の解明と再発防止に取り組むとしています。