ソーシャルエンジニアリング起点の乗っ取り手口
LINEで「投票して」「これ手伝って」といった軽い依頼を装い、外部サイト誘導や認証コードの入力・共有を促す手口が増えている。狙いはLINEのログインや引き継ぎに必要な情報を奪い、アカウントを乗っ取ることにある。メールより日常会話に近いチャネルのため警戒が下がり、知人発の依頼ほど「いつもの流れ」で操作してしまう点が危険である。
攻撃は高度な脆弱性よりも、人の心理と確認不足を突く。短時間で完結するよう「今だけ」「急いで」と判断を急がせる要素が組み合わされる。情シスはインシデントを技術問題としてだけでなく、業務コミュニケーションのリスクとして捉える必要がある。
乗っ取り後の被害：なりすまし送金要求と二次拡散
アカウントが奪われると、攻撃者は友だちへ本人になりすましたメッセージを大量送信し、送金を要求する。特にPayPayなど即時性のある手段を指定し、取り消しや追跡が難しい状況を作る。さらに「会議中で電話できない」など、本人確認の手段を封じて送金を急がせる。
このフェーズの厄介さは、金銭被害に加えて連絡網を踏み台に被害が連鎖する点である。乗っ取られた本人の信頼が悪用され、同様の「投票して」メッセージが組織内外へ拡散しやすい。結果として、取引先や顧客への波及がレピュテーションリスクに直結する。
見分けの勘所：「文面」ではなく「状況」で判断
近年は口調の模倣も進み、文章の不自然さだけでは判別しにくい。判断軸は、依頼内容が普段の関係性・業務文脈に沿っているか、確認を妨げる要素がないかである。突然の投票依頼、認証の要求、送金の依頼は要注意である。
-
外部サイトで電話番号・メール・パスワード・認証コードの入力を求められる
-
「認証コードを教えて」「スクショ送って」など秘密情報の共有を迫る
-
「急いで」「今だけ」「電話不可」など確認手段を潰してくる
少しでも違和感があればLINE上で継続せず、電話や別チャネルで本人確認する運用が最も確実である。
情シスが整備すべき対策と初動対応
教育面では「リンクは開かない」だけでなく「開いてしまっても入力しない」「認証コードは絶対に渡さない」を行動原則として周知する。送金依頼は確認完了まで実行しないルールを徹底し、部署内の合言葉や確認手順を事前に決めておくと効果が高い。加えて、ログイン通知の確認、パスワード変更、不審セッションのログアウトなど、アカウント保護の定期点検を促すべきである。
乗っ取りが疑われたら、まず別手段で周囲へ注意喚起し、被害拡大を止める。次にアカウント状態の確認とパスワード変更、端末のセキュリティ確認を速やかに実施する。送金被害が発生している場合は決済事業者へ連絡し、取引確認と必要手続きを進めることが重要である。