さる4月1日付けで筆者の手元にLexBlogのレポート「FTCとFBIはサイバーセキュリティ詐欺の傾向と予防策に関するガイダンスを提供」が届いた。
COVID-19の発生とパンデミック化に対応して、いくつかの米国の連邦政府機関は、発生に関連する詐欺や詐欺行為の増加について警告を発表したというものである。
例えば、FBIは最近の速報で、COVID-19対策のためのフィッシングメール、偽造の治療または偽機器の増加、および発生に関する情報を提供することを目的とした米国保健福祉省(DHHS)の下部機関である疾病対策予防センター（CDC）からの偽のメールの増加について警告を発した。
また、連邦取引委員会(FTC) (筆者注)は、COVID-19に関連する詐欺と戦うために取っている手順の一般的な概要を発表しただけでなく、ビジネスを標的とすることを観察した7種類のCOVID-19詐欺の具体的なリストをも提供した。
今回のブログは、これらの詐欺の詳細と、FBIとFTCからの最も一般的なリスクのいくつかから保護し、それに対処する方法に関するガイダンス内容を仮訳するものである。
1． FTCのサイバーセキュリティ詐欺と脅威の最近の傾向
FTCが事業者を標的とした7つのCOVID-19詐欺のリストには、以下の詐欺が含まれている。
(1)「公衆衛生」詐欺(“Public health” scams)：この場合、攻撃者はCDC、世界保健機関（「WHO」）、または社会保障番号や納税者番号などの情報を求める他の公衆衛生組織からメッセージを送信するか、受信者に特定のサイトにリンクすべくクリックするか添付文書をダウンロードするように要求する。
なお、この手の詐欺に関しBarracuda Networks, Inc.「コロナウィルス（COVID-19）詐欺: 企業は新しいフィッシング攻撃を受けている（メールセキュリティ）」がCDCやWHOを騙る詐欺の手口と予防対策について詳しく解説している。
(2)政府小切手詐欺(Government check scams)：この場合、攻撃者は受信者が前払いまたは個人情報を提供することによって政府機関からお金を受け取ることができると主張する。 （FTCは以前に、そのような詐欺の特定と対処に関する個別のガイダンスを提供していたことに注意されたい）
(3)ビジネス電子メール詐欺（「Business email compromise :BEC」）攻撃：攻撃者は従業員または組織の電子メールアドレスを偽装し、受取人に送金させたり、または個人情報の提供を指示する。 FTCは、在宅勤務への移行を含む、COVID-19による勤務パターンの調整の最中に、緊急の要求が異常に見えないで、また従業員がホールを下りて、そのメッセージを対面で話し合って、送信者であることを確認するなどメッセージの信頼性を確認するための同じオプションにアクセスできなくなる可能性があることを警告している。
(4)IT詐欺：攻撃者は組織のITスタッフのメンバーになりすまして、ユーザーのパスワード情報を要求するか、ソフトウェアのダウンロードを要求する。 (3)BEC攻撃と同様に、FTCは、最近のテレワーキング等の勤務パターンの変化により、従業員がこれらの詐欺に対して特に脆弱になる可能性があることを警告している。
(5)偽ブランド等供給詐欺：詐欺師は、有名な小売業者の外観を模倣したWebサイトをあらかじめセットアップし、見返りに供給を提供することなく支払いを要求する。
(6)Robocall詐欺：詐欺師が偽のCOVID-19検査キット、衛生用品または企業や個人向けのその他の関連製品を売り込む。
(7) データ詐欺：FTCが、データ侵害のリスクを高める可能性がある在宅勤務への移行に関連するさまざまな潜在的な脆弱性を説明するために使用するカテゴリである。
すなわち、より多くの人々が在宅勤務をしているため、ハッカーは企業がオンライン防御を取り除き、データの豊富なネットワークへの侵入を容易にすることを望んでいる。 在宅勤務時にスタッフがセキュリティを維持するのに役立つヒントがある。 また、米国国立標準技術研究所（NIST）は、遠隔地の職場に安全に移行するためのリソースを持っている。まずは、NISTの更新された「Telework Cybersecurityページ」を参照されたい。また NISTのインフォグラフィックである「Telework Security Overview＆Tip Guide」を参照されたい。 さらに「リモートアクセスのセキュリティ、および独自のデバイスの持ち込み（BYOD）ソリューションに関する最新の速報」を参照されたい。また、「電話会議セキュリティハイウェイのナビゲートに関するアドバイス」をも確認されたい。
２．FBIのIC3の最近時のレポートの要約
このサイバー脅威の高まりは、インターネット犯罪の一般的な記録的な年間で見てが新たに発生したことに起因している。 FBIのインターネット犯罪苦情センター（「IC3」）が最近リリースしたレポートによると、IC3は35億ドル(約3745億円)以上の損失に関連して2019年に467,361件の苦情を受け取ったと報告している。
特に、2019年にIC3を介して報告された最も一般的な詐欺には、BEC攻撃および「テクニカルサポート詐欺」（FTCのガイダンスで参照されている「IT詐欺」と同様）だけでなく、報告されているランサムウェア攻撃の継続的な数も含まれていた。報告されたBEC攻撃は23,775件だけであったが、これらの攻撃の被害額は17億ドル(約1820億円)を超え、2019年に報告された総損失のほぼ半分を占めている。しかし、IC3レポートは、2018年に設立されたFBIの回収資産チーム（「RAT」）が、金融機関やFBI現地事務所が被害者から詐欺的な振り（BEC攻撃など）を受けて国内口座に送金された資金を回収するのを支援し、RATに報告された1,300件を超えるインシデント以上の損失の3億8,400万ドル(約410億9000万円)以上の79％を回収したとする。
また、FBIは人事部または給与計算の従業員が従業員の口座振替情報の更新を要求する詐欺的な電子メールを受け取る、給与計算資金の転用に関連するBECの苦情の数の特定の増加を観察したことにも言及した。ただし、更新された情報は、攻撃者によって制御されているアカウントにルーティングされ、多くの場合、プリペイド支払いカードアカウントにリンクされている。
３．COVID-19詐欺からの保護に関するガイダンス
FBIとFTCの両方のアラートは、企業がこれらの詐欺によってもたらされるリスクから身を守り、それらの1つが発生した場合に適切に対応する方法に関するガイダンスも提供する。このガイダンスには、次の推奨事項が含まれている。
① 一般的なCOVID-19詐欺に関する情報を従業員と共有する。
② 特に従業員が認識していない送信者からの電子メールメッセージからのリンクのクリックや添付ファイルのダウンロードを回避するように従業員を教育する。
③ 電子メールアドレスの正確性を確認し（特に携帯電話で電子メールを確認する場合）、目的の受信者に要求された支払いの変更を確認する。
④ 電子メールまたは電話への応答として、ユーザー名とパスワードの組み合わせ、社会保障番号、金融・財務情報などの機密個人情報を提供しないよう従業員に指示する。
⑤他の従業員からの真正な通信であると主張するBECおよびIT詐欺メッセージなど、従業員が受信したメッセージの信憑性を検証できる中心的な連絡窓口を提供する。
⑥ ハイパーリンクに依存する代わりにURLを入力し、リンクのスペルミスや間違ったドメインをチェックする（たとえば、「.gov」の代わりに「.com」を使用する）。
⑦ 見知らぬサプライヤーまたはサードパーティを同僚または他の信頼できる情報源と調査する。
FTCとNISTによって発行された安全なテレワークに関する最近のガイダンスに続き、Covington＆Burling LLPは3月20日付けのブログ投稿で取り上げている。
特定の集団を標的とする可能性のあるサイバー脅威の傾向に関する最新情報について、FTCおよびIC3 Webサイトを含む政府のWebサイトを引き続き監視する。
FTCとFBIのガイダンスはどちらも、FTCとIC3によって提供される指定された報告メカニズムを使用して、攻撃と詐欺を報告することを推奨している。組織、団体等がBEC攻撃の犠牲になった場合、IC3レポートは、また詐欺が認められ次第、元の金融機関に連絡し、回収または取り消し、ならびに損失補償書面(a hold harmless letter)または賠償補償書(letter of indemnity)を要求することを推奨する。
******************************************************************
(筆者注) わが国の公正取引委員会がFTCについて詳しく解説しているので、以下で引用する。
ア 連邦取引委員会(以下「FTC」という。)は，委員長を含む5人の委員により構成され，その下に競争局(Bureau of Competition)，消費者保護局(Bureau of Consumer Protection)，経済局(Bureau of Economics)，総局長室(Office of the Executive Director)，法律顧問室(Office of the General Counsel)及び地方事務所等が置かれている。
イ FTCの委員長及び委員は，上院の承認を経て，大統領が任命する。任期は7年であり，公務に関する不法行為等の場合以外にはその意に反して罷免されることはなく，職権行使の独立性が認められている。
ウ FTCは，連邦取引委員会法又はクレイトン法違反被疑行為が存在するときは，自ら審査を行い，審判手続を経て，又は相手方が同意するときは審判手続を経ることなく審決により排除措置を命じることができる。また，必要に応じ，違反行為の差止命令等を求める訴訟を提起することができる。
エ FTCの審決に不服がある場合には，連邦控訴裁判所に審決取消訴訟を提起することができる。
オ 連邦取引委員会法第5条(a)(1)後段では，不公正・欺瞞的な行為又は慣行(Unfair or Deceptive Acts or Practices)を禁止しており，FTCは同条に基づき，いわゆる消費者保護行政も所管している。
カ FTCは，また経済実態や企業活動に関する調査を行う権限を有する(連邦取引委員会法第6条)。
***************************************************************************
Copyright © 2006-2021 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only. You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.
