名刺やメールの署名から情報が漏れる話
名刺交換、メールの署名、会社サイトの「スタッフ紹介」。どれも仕事上あたりまえのものですが、攻撃者から見ると、これらは無料で手に入る情報源です。
標的型攻撃やビジネスメール詐欺は、こうした公開情報を組み合わせて組み立てられます。今日は、何がどう使われるのか、そしてどこまで公開すべきかを整理します。
攻撃者が集めている情報
1. メールアドレスの命名規則
名刺を1枚見れば、その会社のアドレスの付け方が分かります。
yamada@example.co.jp→ 姓t.yamada@example.co.jp→ イニシャル＋姓yamada-taro@example.co.jp→ 姓名
1人分わかれば、他の社員のアドレスも推測できます。役員の名前は会社サイトに載っているので、そこから社長のアドレスを組み立てられます。
2. 役職と組織構造
「経理部長」「営業部 課長」。誰が支払いの権限を持っているかが分かります。ビジネスメール詐欺は、この情報がないと成立しません。
3. 使っているシステム
メール署名に書かれた電話番号の形式、サイトのフッターに残る制作会社名、求人情報の「使用ツール」欄。ここからどのグループウェアやクラウドを使っているかが推測できます。
4. 誰が不在か
「◯◯は出張中のため」という自動返信や、SNSへの投稿。決裁者が不在のタイミングは、詐欺を仕掛ける絶好の機会になります。
実際にどう使われるか
集めた情報は、こう組み立てられます。
経理部の◯◯様
>
お世話になっております。△△社の□□です。
弊社の振込先口座が変更となりましたので、ご連絡いたします。
社長の××様にはご了承いただいております。
>
（新しい口座情報）
社名、担当者名、役職、取引の存在——すべて公開情報から組めます。社長が出張中なら「確認できない」状況まで作れます。
これがビジネスメール詐欺（BEC）の実際の形です。技術的な侵入は一切ありません。情報を集めて、それらしい文面を書くだけです。
どこまで公開を絞るべきか
とはいえ、名刺を渡さない・サイトに連絡先を載せないというのは非現実的です。リスクの高いものだけ絞るのが現実的な対応です。
絞ったほうがよいもの
- 社員個人のアドレスをサイトに一覧で載せない（問い合わせフォームに集約する）
- 組織図をそのまま公開しない（役員名までは必要でも、部署ごとの担当者一覧は不要なことが多い）
- 不在情報を自動返信に書きすぎない（「◯月◯日まで海外出張」は情報が多すぎます）
そのままでよいもの
- 名刺での情報交換（これを絞ると仕事になりません）
- 代表電話・代表アドレス
- 役員名・会社概要
「攻撃者だけが得をする情報」を減らすという視点で見直すと、判断しやすくなります。
情報を絞るより効く対策
公開情報を完全に隠すことはできません。だから、情報が漏れている前提での対策のほうが重要です。
1. 口座変更は必ず電話で確認するルール
これが最も効きます。 取引先からの振込先変更依頼は、メールに書かれた番号ではなく、こちらが元から知っている番号にかけて確認する。ルール化して、例外を作らないでください。
2. 高額の支払いは二人以上で承認する
一人の判断で送金できない仕組みにしておけば、一人が騙されても止まります。
3. 「社長からの至急依頼」を疑える空気を作る
BECは役職の圧力を利用します。「社長からの依頼でも確認していい」と経営層自身が明言しておくことが、実は最大の対策になります。
メール署名の見直しポイント
すぐできることとして、署名の中身も見直してみてください。
- 携帯番号は本当に必要か（社外向けの署名から外せないか）
- 部署の内線一覧を載せていないか
- 社内向けと社外向けで署名を分ける
小さなことですが、攻撃者に渡す材料は少ないほどよいのは確かです。
標的型攻撃への備え、ご相談ください
「うちの会社の情報が、外からどう見えているか」を一度確認してみませんか。BULLCOM Security では、公開情報からの調査（OSINT）を含めたセキュリティ診断や、BEC対策を含む社員向け講習（座学 ¥49,800〜／フィッシング訓練 ¥79,800〜）をご用意しています。
実際に模擬メールを送って、社員がどう反応するかを見る訓練は、意識を変えるうえで非常に効果的です。まずは現状をお聞かせください。お気軽にご相談ください。