資産運用業界を狙うソーシャルエンジニアリング攻撃の現状と備え

金融・投資領域で「人」を狙う攻撃が再び注目される理由

近年、金融・投資領域では技術的な脆弱性だけでなく、人の判断を突く攻撃が増えています。電話やチャットを悪用し、正規手続きに見せかける点が特徴です。

特に資産運用会社は、認証情報や内部情報の価値が高いと見なされやすい業種です。攻撃者にとっては、侵入の足掛かりを得るだけでも大きな収益化余地があります。

「多層防御」を整備していても、最終的に従業員が操作してしまうと突破されます。IT部門だけでなく、経営層も含めた統制設計が重要になります。

海外金融街で相次いだ電話ベースの攻撃と狙いどころ

報道では、海外の金融街に拠点を置く資産運用企業を中心に、高度なサイバー攻撃の試みが複数発生したとされています。単発ではなく連続して狙われた点が示唆的です。

手口は電話などを使うソーシャルエンジニアリングで、情報システムへのアクセス権限や機密情報を聞き出すものです。本人確認の隙や、急がせる話法が悪用されがちです。

現時点で侵入の成否や情報流出の有無など詳細は公表されていません。一方で「試行が相次ぐ」状況自体が、標的型の準備活動が活発である可能性を示します。

被害が確定していなくても進めたい現実的な対策

ソーシャルエンジニアリングは、ログ上は正規ユーザー操作に見える場合があります。そのため、認証強化だけでなく、検知・運用プロセスの整備が要になります。

まず、重要操作の経路を限定し、権限を業務最小限に絞ることが基本です。多要素認証の徹底に加え、特権操作には追加の承認手続きを設けると効果的です。

• 監視と検知の強化：不審な認証要求や端末変更、深夜帯の操作などを早期に把握し、電話による依頼の記録・共有も仕組み化します。
• インシデント対応手順の整備：なりすまし連絡を受けた際の報告先、アカウント停止、端末隔離などの動線を明確にし、定期的に訓練します。
• 従業員への周知・教育：合言葉や折り返し確認、別チャネルでの再確認など、迷った時に止まれる「判断の型」を組織で統一します。

また、取引先や委託先を装うケースも想定されます。メール・電話・チャットといった複数チャネルを横断した本人性確認の設計が、実務上の差になります。

まとめ

ネットワークベンダーとして、PSIではソーシャルエンジニアリングを「人の問題」ではなく、設計で低減できるリスクとして捉えることを推奨します。

具体的には、ゼロトラストの考え方でアクセスを常時検証し、重要領域をセグメンテーションで分離します。侵入前提の多層防御で、被害の連鎖を断ちます。

あわせて、監視・検知とインシデント対応の運用を平時から回し、意思決定を速める体制を整えます。攻撃が「相次ぐ」局面ほど、準備の有無が差になります。

会社概要

社名：株式会社ピーエスアイ（PSI）
所在地：〒160-0022 東京都新宿区新宿5丁目5-3 建成新宿ビル4階
設立：1994年
TEL：03-3357-9980
FAX：03-5360-4488
URL：https://www.psi.co.jp
事業内容：サイバーセキュリティ製品の販売および導入支援、運用サポート、ITコンサルティング

報道関係者様からのお問合せ先

株式会社ピーエスアイ
広報担当：内藤
電話番号：（03）3357-9980
Eメールアドレス：psi-press@psi.co.jp