企業とその従業員は、詐欺師に狙われやすい標的です。気づかない従業員をだまして送金させたり、パスワード情報を渡させたり、権限のないユーザーを侵入させたりするのに必要なのは、数通の偽装メールと1つの偽リンクだけであり、その代償を払うのは企業です。
FBI Internet Crime Complaint Center（IC3）によると、2025年にはビジネスメール詐欺による報告被害額が30億ドルを超え、信頼できるサポートチームを装うことが多いテクニカルサポート詐欺やカスタマーサポート詐欺でも、さらに21億ドルの被害が報告されました。こうした詐欺の多くはマルウェアを使わずに成功するため、ITチームにとってアンチスキャム対策はサイバーセキュリティの中核的な要素になっています。
このガイドでは、ビジネス向けの詐欺対策に何が含まれるのか、従業員が特に狙われやすい詐欺の種類、なぜアンチウイルスだけでは不十分なのか、そして詐欺を防ぐためにITチームが導入できる対策について解説します。
ビジネス向け詐欺対策とは何ですか？
企業向けの詐欺対策は、確認プロセス、従業員の意識向上、エンドポイントセキュリティツールを組み合わせることで、従業員が詐欺にだまされるのを防ぐのに役立ちます。こうした詐欺にはさまざまな手口がありますが、一般的には送金、資格情報の共有、またはその他の方法で攻撃者に会社のデバイスへのアクセスを与えることが含まれます。
アンチスキャム対策は、3つの重要なレイヤーで構成されています。
プロセス：支払いとアカウント変更がどのように行われ、確認されるか。
人: 従業員が詐欺を見抜き、報告できるようにするためのトレーニング方法。
テクノロジー： 企業が詐欺サイト、フィッシングページ、不正アクセスをブロックするために使用するツール。
この3つの層が連携して機能することで、互いの不足を補い合い、組織全体により包括的なセキュリティを提供します。
従業員が狙われやすい詐欺
従業員に届く詐欺の多くは、いくつかの典型的なパターンに当てはまります。以下では、それぞれについて、従業員が知っておくべき警告サインと、それを防ぐためにIT部門が導入できる対策を紹介します。
1. ビジネスメール詐欺と経営幹部へのなりすまし
上司や同僚からのメールに見えて、不審なお金の要求が書かれていたものを受け取ったことはありませんか？よくある詐欺の手口として、経営幹部や同僚のメールアカウントを侵害したり、なりすましたりしたうえで、標的に対して送金、給与の振込先変更、またはギフトカードの購入を求めるものがあります。IC3のレポートによると、2025年にはこれらの詐欺に関する24,768件の苦情で、被害総額は30億ドルを超えました。
幸い、注意すべき警告サインがいくつかあります。メールに切迫感をあおる内容（例:「海外で財布を盗まれたので、お金を送金してほしい」や「この支払いを今すぐ送る必要がある」）が含まれていたり、秘密にするよう求められたり、通常の承認プロセスを迂回するよう求められたりする場合は、危険信号と考えるべきです。同様に、メールアドレスが微妙に一致していなかったり、文法に不自然さがあったりする場合も、なりすましや侵害されたアカウントの兆候である可能性があります。
IT部門と財務部門にとって、最も強力な統制はプロセスです。支払い、給与、銀行情報の変更については、依頼者が誰に見えても、既知の電話番号へのコールバックなどの帯域外確認と、2人目の承認者による承認を必須にしてください。
2. フィッシングと偽のログインページ
フィッシングは、IC3の2025年レポートで最も多く報告された犯罪タイプで、191,561件の苦情が寄せられました。典型的な攻撃では、メールやメッセージによって偽のログインページへ誘導されたり、従業員の資格情報を要求されたりします。従業員がその手口にだまされてログイン情報を入力すると、攻撃者はその情報を盗み、盗んだアカウントにログインするために悪用できます。
フィッシングを回避するには、メールを開いたりリンクをクリックしたりする際に、従業員が常に注意を払う必要があります。リンク先が表示どおりの場所かを確認し（たとえば、小文字のLの代わりに大文字のIが使われているなど、スペルのわずかな違いにも注意してください）、予期しないログイン要求にも気を付けましょう。メッセージが「24時間以内にログインしないとアカウントが削除されます」のように緊急性をあおってくる場合も、警告サインのひとつです。
IT側では、既知のフィッシングサイトをブロックするエンドポイント保護が、誰かがうっかりクリックしてしまったときの最後の防御線となり、多要素認証によって盗まれたパスワードだけでは不正アクセスできないようにできます。従業員がリンクの安全性に確信を持てない場合は、代わりに信頼できるURLからサインインする必要があります。
3. 技術サポートやヘルプデスクのなりすまし
古典的な手口の1つが、コンピュータでウイルスを検出したと主張する「Windows tech support」からの予期しない電話です。偽のテクニカルサポートもよくある詐欺の1つで、2025年には個人の被害者と企業を合わせて報告された被害総額が20億ドルを超えています。
この詐欺は、企業のITチームからの連絡を装った電話、メール、またはその他の通知から始まります。相手は、被害者のデバイスでトラブルシューティングやデバッグ、その他のメンテナンスを行う必要があると主張し、問題に対処するためにリモートアクセスが必要だと言います。
こうした詐欺では、被害者のデバイスに接続するために、正規の商用リモートアクセスソフトウェアが使われることがよくあります。そこから、そのアクセスを悪用してデータを盗んだり、マルウェアをインストールしたり、ほかの重要なファイルにアクセスしたりします。リモートアクセスツール自体は正規のソフトウェアであるため、シグネチャベースのアンチウイルスでは通常、検知されません。
この場合、警告サインはその依頼自体です。リモートアクセス詐欺の防止には、特にヘルプデスクを名乗る相手から予期しない連絡を受けた場合に、注意深さと疑いの目を持つことが必要です。
従業員は、サポート担当者からの一方的な連絡、すぐに対応するよう迫る言動、ソフトウェアのインストールやコードの読み上げを求める依頼に注意する必要があります。ITチームにとっての対策は2つあります。1つは、従業員が本物のIT部門からどのように連絡が来るか分かるよう、公式のサポート窓口を1つ設けること。もう1つは、会社のデバイスで承認されていないリモートアクセスツールのインストールをブロックすることです。
4. 偽の請求書とベンダー支払い詐欺
企業が支払いに関する請求書を受け取ったら、支払対象のサービスを実際に受けていることと、支払い先が正しいことを確認する必要があります。偽の請求書やベンダー支払い詐欺は、企業をだまして支払いをさせたり、正当な支払いの送金先を変更させたりすることを狙っています。
この種の詐欺では、通常、詐欺師は実際には注文されていない商品やサービスの請求書を送りつけ、企業が詳細を確認せずに支払うことを狙います。場合によっては、実在する仕入先になりすまし、正当な支払いが実際のベンダーではなく自分たちに送金されるよう、企業に銀行口座情報の更新を求めることもあります。
いずれの場合も、詐欺師は金を受け取り、企業とベンダーが被害を受けます。
従業員は、誰も発注した覚えのないサービスの請求書、変更された銀行口座情報、正規ベンダーのものと微妙に異なる送信者ドメインに注意することで、こうした詐欺を見抜けます。プロセス面では、ベンダーの銀行口座情報の変更は、依頼に記載された連絡先ではなく、すでに登録されている連絡先を通じて必ず確認するようにしましょう。
5. AI支援によるなりすましと音声クローン
人工知能（AI）は、詐欺師が被害者をだますための新たな手口を生み出しました。FBIのIC3レポートによると、AI関連として分類された苦情は、IC3がこの分類の追跡を開始した最初の年である2025年に、約9億ドルの損失を占めました。
詐欺師はAIを使って説得力のあるフィッシングメールをすばやく作成できるため、フィッシングの成功率が高まります。同様に、AIを使って企業の幹部や同僚の声を複製し、被害者に電話をかけて金銭や資格情報を要求することもできます。聞き慣れた声はもはや本人確認の確実な証拠ではなく、生成AIによってこうした通話をリアルタイムで受け答え可能かつ説得力のあるものにできます。
警告サインは今でも存在します。通常の連絡経路以外からかかってきて、送金やアクセスを求める音声通話やビデオ通話は、特に相手が緊急性を強く訴える場合、重要な危険信号です。
従業員にはいったん電話を切り、把握している番号を使って本人にかけ直すよう教育し、その折り返し確認を支払いおよびアクセス変更のポリシーで必須の手順にしましょう。
標準的なアンチウイルスでは詐欺対策が不十分な理由
Antivirusはエンドポイントセキュリティの中核ですが、多くの詐欺はそれをすり抜けるように作られています。
シグネチャベースのAntivirusは、悪意のあるファイルやコードに重点を置いています。多くの詐欺では、マルウェアがまったく使われません。従業員をだまして電信送金をさせたり、資格情報を渡させたり、詐欺師のために正規のリモートアクセスツールをインストールさせたりします。
このようなケースでは、攻撃は従業員自身の行動を通じて進行します。詐欺対策は、従業員がフィッシングページや詐欺サイトにアクセスしたときや、リモートアクセスソフトウェアのインストールを求められたときなど、標的にされたその瞬間に機能する必要があります。
だからといって、アンチウイルスが時代遅れだというわけではありません。アンチウイルスソフトウェアは、マルウェアやその他のサイバー脅威を防ぐために引き続き必要ですが、より包括的な保護のためには、詐欺に特化したエンドポイント保護とユーザートレーニングを組み合わせるべきです。
7つのステップでビジネスを詐欺から守る方法
以下の7つのステップは、プロセス・人・テクノロジーを組み合わせることで、ITチームが詐欺による金銭的被害を受ける前に防ぐのに役立ちます。
すべての支払いとアカウント変更は、別の連絡手段で確認する: 多くの詐欺は、被害者が詐欺師の言葉をそのまま信じることに依存しているため、確認を行うことで最もよくある抜け穴をふさげます。銀行口座情報の変更、新しい支払先の追加、給与情報の更新を行う前に、既知の電話番号（依頼に記載された番号ではなく）への折り返し連絡と、2人目の承認者による承認を必須にしましょう。
最新の詐欺手口について従業員をトレーニングする: ヘルプデスクのなりすましやAI音声クローンを含め、実例を使った短時間の定期的なセッションが最も効果的です。不審なメッセージをすばやく、責められることなく報告できるようにして、従業員が何かに気づいたときに声を上げやすくしましょう。
公式のITサポート窓口を1つ設ける：IT部門がどのように連絡するかを従業員にはっきり伝え、IT部門が予告なく電話してソフトウェアのインストールを求めることは決してないと明確にすることで、IT詐欺を防ぐことができます。それ以外の依頼はすべて詐欺として扱い、報告する必要があります。
社内デバイスで実行できるリモートアクセスツールを管理しましょう：承認済みのリモートアクセスツールを1つに標準化し、ITチームがどのツールを使用しているかを従業員に周知しましょう。そのうえで、社内デバイスでその他のリモートアクセスソフトウェアのインストールをブロックまたは検知できるようにしましょう。
詐欺サイトやフィッシングサイトをブロックするエンドポイント保護を追加する: エンドポイント保護は、悪意のあるリンクやWebサイトから防御するための強力なツールです。管理対象デバイス全体で機能し、従業員が詐欺サイトやフィッシングサイトにアクセスする前にそれらをブロックできる保護を選びましょう。
重要なアカウントで多要素認証を必須にする: 従業員の資格情報が盗まれても、追加の認証が被害防止に役立ちます。メール、銀行、給与管理などのアカウントにログインする際は、多要素認証（MFA）を使用しましょう。これにより、パスワードが盗まれても、それだけで不正アクセスを許してしまうことはありません。
アラートを一元化し、対応計画を策定しましょう: 一元化された管理機能と明確な計画があれば、ITチームは脅威に迅速かつ効果的に対応できます。セキュリティアラートが1か所でITに届くようにし、デバイスが感染した場合はすばやく隔離して資格情報をリセットできるようにしましょう。資金が移動された場合は、必ず銀行に連絡し、すべてのインシデントをFBIおよびFTCに報告してください。
企業向け詐欺対策ソフトウェアを選ぶ際のポイント
企業向けの詐欺対策には、従業員トレーニングと詐欺対策ソフトウェアを強力に組み合わせることが必要です。詐欺対策ソフトウェアは、潜在的な詐欺の特定とブロックに役立ちますが、適切な機能を備えていることを確認する必要があります。
次の点を必ず確認してください。
リアルタイムのマルウェア保護 により、ファイルを開いたりダウンロードしたりする際に自動でスキャンし、検出された脅威を隔離します。
既知の悪意あるサイトをブロックし、新たなサイトも検知するための詐欺サイトとフィッシングサイトのブロック。
ルールベースのフィルターで認識できない場合でも、新たに出現する詐欺を特定するのに役立つAI支援型の詐欺検知。
未承認のリモートアクセスソフトウェアのインストール試行を検出してブロックする、不正なリモートアクセスツールのブロック
設定とポリシーを一元管理できるため、ITは物理的にその場にいなくても、すべてのエンドポイントに保護をインストールして適用できます。
脅威がブロックされたとき、または乗っ取りの試みが検出されたときにITへ通知するための即時アラート 。
既存のセキュリティツールとの互換性 により、既存のAntivirusやEDRソフトウェアと競合することなく併用できます。
従業員の個人ファイルを表示することなく、保護ステータスとセキュリティイベントを管理者に示す明確なプライバシー境界。
Splashtop Shield for BusinessがITチームの詐欺リスク低減に役立つ方法
アカウントやデータを盗もうとする詐欺や脅威は数多くありますが、マルウェアにも詐欺師にも対抗するためのツールがあります。Splashtop Shield for Businessは、アンチウイルスと詐欺対策を組み合わせ、デバイスをウイルスから保護しながら、従業員がだまされるのを防ぐのに役立ちます。
Splashtop Shield for Business は、無人アクセス対応の Splashtop ビジネス製品向けアドオンとして利用でき、最新のアンチウイルスとAI支援型の詐欺・フィッシング対策を組み合わせて、エンドポイントのセキュリティ維持を支援します。Splashtop Shield for Business では、次のことが可能です。
1. AI支援の検出で詐欺サイトとフィッシングサイトをブロック
Splashtop Shield for Businessは、安全でないサイトや既知のフィッシングサイトをブロックし、AI支援の詐欺検出機能によって、既知のリストにはまだ載っていない新たな詐欺や新興の詐欺も見つけるのに役立ちます。リアルタイムのマルウェア対策とアクセス時スキャンにより、悪意のあるファイルや安全でないアプリケーションが実行される前に阻止します。
2. 不正なリモートアクセスツールのインストールをブロック
リモートアクセスは、リモートコラボレーション、サポート、業務を実現するための優れたツールです。しかし、詐欺師は被害者をだましてアクセスを許可させ、これを悪用することがあります。そのため、Splashtop Shield for Businessは、詐欺師がヘルプデスクを装うために使用するものを含め、不正なリモートアクセスツールのインストール試行を検出してブロックします。管理者は承認済みのリモートアクセスツールを許可リストに追加できるため、正当なサポートセッションはそのまま継続できます。Splashtop Shieldが乗っ取りの試みを検出すると、ITが介入できるよう即座にアラートを送信します。
3. Splashtopコンソールから設定とレポートを実行
セキュリティ管理が、ユーザーやITチームに不要な負担をかけるものであってはいけません。ITチームは、Endpoint Policiesを通じてSplashtop Shield for Businessを自動インストールすることも、ユーザーの作業を妨げないオンデマンドのサイレントインストールを実行することもできます。クイックスキャンとフルスキャンはSplashtopコンソールから開始でき、脅威アラートはそこで Security > Threats の下に表示され、調査用にShield Consoleへの直接リンクも用意されています。
さらに、Splashtop Shield はほとんどの脅威を自動的に隔離できるため、IT部門の負担を増やすことなく、対応の迅速化を実現できます。
4. 既存のセキュリティツールと併用して詐欺対策を実施する
Splashtop Shield for Business は、CrowdStrike や Bitdefender などのほかのセキュリティツールと競合することなく併用できます。管理者は各エンドポイントの保護ステータスとセキュリティイベントを確認でき、従業員の個人ファイルや閲覧履歴はプライバシーとして保護されます。
管理しているエンドポイントに詐欺対策保護を追加
マルウェアはデバイスを狙い、詐欺は人を狙います。優れた詐欺対策は、確認、トレーニング、エンドポイント制御を組み合わせることで、詐欺サイトを検出し、不正なリモートアクセスを未然に防ぎ、ビジネスの金銭的損失を回避できるようにします。
Splashtop Shield for Businessはそのエンドポイント層を追加し、リアルタイムのアンチウイルス、AI支援による詐欺・フィッシング対策、不正なリモートアクセスツールのブロックを組み合わせることで、ITチームがWindowsとmacOSのエンドポイント全体で詐欺を発見して阻止できるよう支援します。
すでに無人アクセス対応のSplashtopビジネス製品をご利用の場合は、サブスクリプションにSplashtop Shield for Businessを追加できます。
Splashtop Shield for Businessについて詳しく知りたいですか？ぜひ今すぐご確認ください。
