「アカウント乗っ取り」ではない？ 盲点を突く手口

「まさかウチが…と思いましたよ」 都内のIT企業に勤めるA氏は、冷や汗交じりに語る。 1月下旬の朝、A氏のもとに社長のアカウントからコンタクト申請が届いた。承認すると、即座に「今、会社にいますか？」というメッセージが。

「社長なら私の予定を知っているはずなのに…と違和感はありましたが、無視するわけにもいかず返信しました。すると『会議中で手が離せない』『重要な仕事の手配がある』として、財務経理の責任者をグループチャットに追加するよう指示されたのです」

これこそが、現在猛威を振るっている「社長なりすまし詐欺」の典型的な手口だ。特筆すべきは、これが従来のアカウント乗っ取りではない点だ。犯人グループは、社長の実名と顔写真を盗用し、全く別の新規アカウントを作成して接触してくる。

CommerceXホールディングスの佐藤秀平氏も被害者の一人だ。「アカウント乗っ取りじゃないのでタチが悪い」とSNSで警鐘を鳴らす。本物のIDとは異なる、ランダムな文字列や意味不明なID（例：sdswegwbgなど）で登録されているのが特徴だが、パッと見のプロフィール画面だけでは本物と見分けがつかないほど精巧に作られている。

「9000万円を即時振込せよ」 生々しいやり取り

実際の詐欺チャット画像には、背筋が凍るようなやり取りが残されている。 なりすまし犯は、財務担当者がグループに追加されるやいなや、具体的な振込指示を出す。

「後ほど、9,000万円の送金があります」 「振込は必ず即時振込を選択してください」 「完了後、振込明細のスクリーンショットをすぐに私宛てに送付してください」

指定された振込先には、「合同会社栞商会」といった実在しそうな法人名義の口座が指定されていたケースも確認されている（望月俊亮氏の報告より）。「会議中」という設定にすることで電話確認を封じ、権威性を利用して思考停止に追い込む。まさに心理的な隙を突いた劇場型詐欺だ。

ウィルゲート、キュービック… 有名ベンチャーも標的に

この詐欺の恐ろしいところは、ターゲットが無差別である点だ。ウィルゲート代表の小島梨揮氏や、前述の佐藤氏など、IT業界で名の知れた経営者の「ニセモノ」が次々と出現している。「IT系はリテラシーが高いから騙されないだろう」という油断こそが敵だ。SNS上では「人海戦術ではないか」との推測も飛ぶ。

実際に被害に遭いかけた企業の担当者は、「社内の連絡網がチャットワークに依存している会社ほど、社長からのチャットには反射的に反応してしまう」と語る。

運営元「Kubell」の対応と責任は？

この事態を受け、被害企業の中には「チャットワークを全社解約する」と宣言する経営者も現れた（株式会社ミツカル・城之内楊氏）。 企業にとってセキュリティと信頼性は生命線だ。上場企業であり、チャットワークを運営する株式会社Kubell（旧Chatwork株式会社）の対応に、今、厳しい視線が注がれている。

「本人確認プロセスの厳格化など、プラットフォーマーとしての責任ある対応が急務です。このまま被害が拡大すれば、株価への影響はもちろん、ツールとしての信頼失墜にもつながりかねません」（経済ジャーナリスト）

運営元も異例の公式発表「知らないアカウントは疑え」

事態の深刻さは、運営会社も重々承知しているようだ。 Chatworkを運営するKubellは、被害が急増し始めた1月14日時点で、『【重要】Chatwork上でのなりすまし詐欺にご注意ください』と題する公式リリースを発表。異例の注意喚起を行っている。

同社はリリースの中で、「実在する企業の代表者や社員を装い、口座情報の提供や現金の振り込みを要求する、なりすまし詐欺が発生している」と事実関係を認定。その上で、ユーザーに対して以下の防衛策を強く求めている。

• 知らないアカウントからのコンタクト申請には慎重に対応すること
• 申請者のプロフィール情報や、すでにコンタクト承認済みのアカウントがないか確認すること
• 万が一承認してしまった場合は、速やかに「コンタクトの削除」や「グループチャットからの削除」を行うこと

しかし、この発表から1週間以上が経過した1月下旬になっても、前述のウィルゲート代表の小島梨揮氏や佐藤氏など、有名経営者の「ニセモノ」出現報告は後を絶たない。詐欺グループは運営側の警告を嘲笑うかのように、今もなお新たなターゲットを探し続けているのが実情だ。

明日は我が身。今すぐできる対策とは？

この詐欺は、InstagramなどのSNSなりすまし被害の延長線上にあり、今後さらに手口が洗練されていくと予想される。 企業がとるべき対策は以下の3点だ。

1. 「チャットで金銭の振り込み指示は絶対にしない」というルールを徹底する。
2. 経営者の正しいIDを社内で周知し、それ以外のアカウントは無視・削除する。
3. 少しでも違和感があれば、電話や別の手段で必ず本人確認を行う。

「ウチは大丈夫」と思った瞬間、あなたの会社の資産が狙われているかもしれない。社内への注意喚起は、今すぐ行うべきだ。