アカウント名:
パスワード:
> 時系列の通り、まず今年の８月と９月にJAL米国支店が2回振り込んで2400万パクられた。
偽メールに確認の返信をするときにCcで正規の取引先を含めて送るという、わざわざ詐欺師に本物の情報を教えてあげているのには同情の余地無し…。
そんなことしたら詐欺師は本物のアドレスを詐称して「本当だよ」って送ってくるに決まってるじゃん。本物の取引先にもJAL担当者を装って「さっきのは勘違いでした。無視して」って送ったかもしれない。
> その後JAL本社の財務部門が3億6千万やられた。> 自作自演あるいは内部犯行を疑われても仕方のない事案ですね。
こっちのほうはかなり巧妙。JALか取引先がハッキングされていた可能性も高い。少なくともメールのやり取りは完全にモニターされていたと思われれる。
直前に送られてきた請求書のPDFが改変され、訂正版として送られてきたということだから。
> スカイマークは気が付いた、ANAはセーフ。
スカイマークは騙されて送金しようとしたんだけど既に口座が凍結されていたので送金に失敗してセーフだったんだよ。送金できなくて詐欺だと気付いた。
スカイマークの1回目は運が良かっただけだが、2回目は「注意喚起の成果により未然に阻止された」。が、JALの方は発覚したのが10月で2通計3回の被害はすべてそれ以前だからスカイマークが特別上手かったとも言い切れんなぁ…
> 偽メールに確認の返信をするときにCcで正規の取引先を含めて送るという、> わざわざ詐欺師に本物の情報を教えてあげているのには同情の余地無し…。このやり取り周辺についてはJALも取引先も杜撰が過ぎるわなぁ…確認の際に、振込先の変更について言及しなかったのか、言及したのに取引先がスルーしたのかどっちでも杜撰。だけど、アドレス変更について確認されているのに取引先は何を確認して事実だなどと回答したのだろう。偶然、最近アドレスを変更していたにしても、確認を求められているのに何をしているのかと。
> 少なくともメールのやり取りは完全にモニターされていたと思われれる。スカイマークも実在の担当者の名前(と恐らく実在の取引)を提示してきてるし、スカイマークもJALも取引のメール内容が盗まれていたのは同じ条件と思われる。
JALには今をときめくセキュリティ専門家の齋藤ウィリアム浩幸氏がついてたはずなのに！
>偽メールに確認の返信をするときにCcで正規の取引先を含めて送るという、>わざわざ詐欺師に本物の情報を教えてあげているのには同情の余地無し…。
素人でしょ？仕方ないよ…。よく確認メール送る気になったと褒めたいぐらい。JALのみたいな内部の情報が漏洩してるビジネスメール詐欺は見破りようがないわ。アホだのバカだの言ってる奴は、手口を分かってないか、想像力が足りてない。普段よくくるフィッシングと同じレベルと思ってるんだろうけど、間違いなく明日はおまえだパターン。
業務での対応だった以上、「素人でしょ？」は失礼なのでは？末端の担当者にのみに責任を負わせるのは厳しかろう、とは思いますが。。。
どんなフローになっていたのかは気になりますね。振込先の変更が上長の承認なしに行えるのはちょっと考えにくい体制だと思うのですが。。。
金額の変更ならともかく、振込先の口座の変更に承認いります？仮に必要だったとして、あなたの会社の上長は、部下からの情報とは別に、自分で直接取り引き先に連絡したりして確認取ってるんでしょうか。
金額の変更ならともかく、振込先の口座の変更に承認いります？
当然に、金額変更以上の承認フローが設定されている処理でしょ。このストーリーからも分かるとおり、取引実績のある口座で金額を間違えても実績のある連絡先に事情説明して次の取引で相殺処理なりすれば済む(と言っても平謝り案件ではある)けど、振込み先を間違えたら最悪取り返しが付かないんだから。
仮に必要だったとして、あなたの会社の上長は、部下からの情報とは別に、自分で直接取り引き先に連絡したりして確認取ってるんでしょうか。
やり取りに不審を感じたり、予定されている取引額が大きければ（部下がやりとりしている担当ではなく、自分と同等の役職者などに）確認するものではないでしょうか。# どのような場合でも一切確認しないのであれば、何のための承認プロセスなんだって感じなのですが。。。
> 素人でしょ？仕方ないよ?。よく確認メール送る気になったと褒めたいぐらい。
仕方なくないよね。取引先ではないアドレスから振込先口座変更のメールが来たら、普通は*無視*するし、少なくとも安全な方法で確認するよね。不審なメールを送ってきたやつに確認を送るなんて素人だからって許される範疇を大きく超えてる。
> アホだのバカだの言ってる奴は、手口を分かってないか、想像力が足りてない。> 普段よくくるフィッシングと同じレベルと思ってるんだろうけど、間違いなく明日はおまえだパターン。
いや、2つの被害のうちの先に遭った被害のほうは普段よく来るフィッシングと同じレベルの偽メールだよ。だって、取引先とは違うアドレスから送ってきてんだから。
最低でも確認の送り先は本物の取引先だけにするもんだよね。君は想像力が不足しすぎていて同じように騙されそうだから、私が上司ならそういう経理や財務担当からは外すだろうね。
> 普段よく来るフィッシング本物の取引先と同じ担当者名で、実際の取引内容を把握していないと送れないような内容のメールが普段からバカスカ届いてたら情報管理ガバガバ過ぎて大問題です。まぁ結局は漏れてたわけだけど。
>振込先口座変更のメールが来たら、普通は*無視*するししないだろ。経理担当だよ？そんなメール普通に何通もやり取りしてるんじゃ。で、経理担当者がメールの差出人が偽装できるとか知らんだろ。詐欺師に本物の情報を教えてあげているとか微塵も思ってなかった。そして正しいアドレスから偽の返事が送られてきたら、信じてしまうのも無理ない。
まぁアドレスを確認する程度には怪しかったのかもね。つか君ら文面だけで取引先や上司のものとわかるようなメールも全部一字一句アドレス確認してるの？今日取引先や上司から届いたメールがもし偽だったとして、見破れただろうかとか思わないの？アドレスチェックしてた？
> つか君ら文面だけで取引先や上司のものとわかるようなメールも全部一字一句アドレス確認してるの？
文面に騙される人ですね。
してるの?には返事しないんですね
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
Stay hungry, Stay foolish. -- Steven Paul Jobs
何度だまされたら気づくのか (スコア:5, 参考になる)
その後JAL本社の財務部門が3億6千万やられた。
自作自演あるいは内部犯行を疑われても仕方のない事案ですね。
財務って電算化が進んでいてITに詳しそうだが、実はコテコテの文系でITは一番ダメな部署なんだよな。
しかし
スカイマークは気が付いた [nikkeibp.co.jp]、ANAはセーフ。
JALはアホ。
Re:何度だまされたら気づくのか (スコア:5, 興味深い)
> 時系列の通り、まず今年の８月と９月にJAL米国支店が2回振り込んで2400万パクられた。
偽メールに確認の返信をするときにCcで正規の取引先を含めて送るという、
わざわざ詐欺師に本物の情報を教えてあげているのには同情の余地無し…。
そんなことしたら詐欺師は本物のアドレスを詐称して「本当だよ」って
送ってくるに決まってるじゃん。
本物の取引先にもJAL担当者を装って「さっきのは勘違いでした。無視して」
って送ったかもしれない。
> その後JAL本社の財務部門が3億6千万やられた。
> 自作自演あるいは内部犯行を疑われても仕方のない事案ですね。
こっちのほうはかなり巧妙。
JALか取引先がハッキングされていた可能性も高い。
少なくともメールのやり取りは完全にモニターされていたと思われれる。
直前に送られてきた請求書のPDFが改変され、訂正版として送られてきた
ということだから。
> スカイマークは気が付いた、ANAはセーフ。
スカイマークは騙されて送金しようとしたんだけど既に口座が凍結されて
いたので送金に失敗してセーフだったんだよ。
送金できなくて詐欺だと気付いた。
Re:何度だまされたら気づくのか (スコア:1)
スカイマークの1回目は運が良かっただけだが、2回目は「注意喚起の成果により未然に阻止された」。
が、JALの方は発覚したのが10月で2通計3回の被害はすべてそれ以前だからスカイマークが特別上手かったとも言い切れんなぁ…
> 偽メールに確認の返信をするときにCcで正規の取引先を含めて送るという、
> わざわざ詐欺師に本物の情報を教えてあげているのには同情の余地無し…。
このやり取り周辺についてはJALも取引先も杜撰が過ぎるわなぁ…
確認の際に、振込先の変更について言及しなかったのか、言及したのに取引先がスルーしたのかどっちでも杜撰。
だけど、アドレス変更について確認されているのに取引先は何を確認して事実だなどと回答したのだろう。
偶然、最近アドレスを変更していたにしても、確認を求められているのに何をしているのかと。
> 少なくともメールのやり取りは完全にモニターされていたと思われれる。
スカイマークも実在の担当者の名前(と恐らく実在の取引)を提示してきてるし、
スカイマークもJALも取引のメール内容が盗まれていたのは同じ条件と思われる。
Re:何度だまされたら気づくのか (スコア:2, おもしろおかしい)
JALには今をときめくセキュリティ専門家の齋藤ウィリアム浩幸氏がついてたはずなのに！
Re: (スコア:0)
>偽メールに確認の返信をするときにCcで正規の取引先を含めて送るという、
>わざわざ詐欺師に本物の情報を教えてあげているのには同情の余地無し…。
素人でしょ？仕方ないよ…。よく確認メール送る気になったと褒めたいぐらい。
JALのみたいな内部の情報が漏洩してるビジネスメール詐欺は見破りようがないわ。
アホだのバカだの言ってる奴は、手口を分かってないか、想像力が足りてない。
普段よくくるフィッシングと同じレベルと思ってるんだろうけど、間違いなく明日はおまえだパターン。
Re:何度だまされたら気づくのか (スコア:2)
業務での対応だった以上、「素人でしょ？」は失礼なのでは？
末端の担当者にのみに責任を負わせるのは厳しかろう、とは思いますが。。。
どんなフローになっていたのかは気になりますね。
振込先の変更が上長の承認なしに行えるのはちょっと考えにくい体制だと思うのですが。。。
Re: (スコア:0)
金額の変更ならともかく、振込先の口座の変更に承認いります？
仮に必要だったとして、あなたの会社の上長は、部下からの情報とは別に、自分で直接取り引き先に連絡したりして確認取ってるんでしょうか。
Re:何度だまされたら気づくのか (スコア:2)
金額の変更ならともかく、振込先の口座の変更に承認いります？
当然に、金額変更以上の承認フローが設定されている処理でしょ。
このストーリーからも分かるとおり、取引実績のある口座で金額を間違えても実績のある連絡先に事情説明して次の取引で相殺処理なりすれば済む(と言っても平謝り案件ではある)けど、振込み先を間違えたら最悪取り返しが付かないんだから。
仮に必要だったとして、あなたの会社の上長は、部下からの情報とは別に、自分で直接取り引き先に連絡したりして確認取ってるんでしょうか。
やり取りに不審を感じたり、予定されている取引額が大きければ（部下がやりとりしている担当ではなく、自分と同等の役職者などに）確認するものではないでしょうか。
# どのような場合でも一切確認しないのであれば、何のための承認プロセスなんだって感じなのですが。。。
Re: (スコア:0)
> 素人でしょ？仕方ないよ?。よく確認メール送る気になったと褒めたいぐらい。
仕方なくないよね。
取引先ではないアドレスから振込先口座変更のメールが来たら、普通は*無視*するし、
少なくとも安全な方法で確認するよね。
不審なメールを送ってきたやつに確認を送るなんて素人だからって許される範疇を
大きく超えてる。
> アホだのバカだの言ってる奴は、手口を分かってないか、想像力が足りてない。
> 普段よくくるフィッシングと同じレベルと思ってるんだろうけど、間違いなく明日はおまえだパターン。
いや、2つの被害のうちの先に遭った被害のほうは普段よく来るフィッシングと同じ
レベルの偽メールだよ。だって、取引先とは違うアドレスから送ってきてんだから。
最低でも確認の送り先は本物の取引先だけにするもんだよね。
君は想像力が不足しすぎていて同じように騙されそうだから、私が上司なら
そういう経理や財務担当からは外すだろうね。
Re: (スコア:0)
> 普段よく来るフィッシング
本物の取引先と同じ担当者名で、実際の取引内容を把握していないと送れないような内容のメールが普段からバカスカ届いてたら情報管理ガバガバ過ぎて大問題です。
まぁ結局は漏れてたわけだけど。
Re: (スコア:0)
>振込先口座変更のメールが来たら、普通は*無視*するし
しないだろ。経理担当だよ？そんなメール普通に何通もやり取りしてるんじゃ。
で、経理担当者がメールの差出人が偽装できるとか知らんだろ。
詐欺師に本物の情報を教えてあげているとか微塵も思ってなかった。
そして正しいアドレスから偽の返事が送られてきたら、信じてしまうのも無理ない。
まぁアドレスを確認する程度には怪しかったのかもね。
つか君ら文面だけで取引先や上司のものとわかるようなメールも全部一字一句アドレス確認してるの？
今日取引先や上司から届いたメールがもし偽だったとして、見破れただろうかとか思わないの？
アドレスチェックしてた？
Re: (スコア:0)
> つか君ら文面だけで取引先や上司のものとわかるようなメールも全部一字一句アドレス確認してるの？
文面に騙される人ですね。
Re: (スコア:0)
してるの?
には返事しないんですね