金融庁、金融機関利用者に不審メールへの警戒呼びかけ　多要素認証の利用も

個人にも対応求める

金融庁は6日、金融機関の利用者に向けて、実在の事業者や行政機関などを装った不審メールへの警戒を呼びかけた。不正アクセスによる顧客情報の漏えいが相次いでおり、流出した情報を悪用して実在の事業者や行政機関になりすます、精巧なメールが増える可能性があるという。

金融庁は、インターネット上に公開されている顧客向けサービスや業務システムへの不正アクセスが続いていると説明。金融機関の利用者に、次の対応を求めた。

• メール内のリンクを安易にクリックしない
• パスワードを使いまわさない
• フィッシング耐性のある多要素認証を利用する
• 身に覚えのない取引の通知等があった場合には、取引先の金融機関に速やかに連絡する

金融機関を装ったフィッシングによる不正送金・不正取引被害が増えていることから、金融庁は金融機関や警察庁と連携し、チラシや動画で注意を呼びかけている。あわせて、フィッシング耐性のある多要素認証の利用も訴えている。

広報チラシは、金融機関名が入ったメールでも偽装の可能性があるとして、送信元のメールアドレスや記載されたリンク先の確認を促している。偽サイトは本物と見分けがつかないほど精巧になっているため、金融機関の公式サイトをブックマークして使うことや、正規のアプリストアから公式アプリをインストールすることが有効だという。

また、従来のパスワード対策だけでは金融犯罪を防ぎきれないとして、金融庁は「パスキー」による認証を勧めている。パスキーは、指紋や顔などの生体認証やPINコードでログインする仕組みだ。

公開鍵と秘密鍵のペアを使うPKI（公開鍵基盤）による認証も紹介した。認証局（CA）などの信頼できる第三者が電子証明書を発行し、公開鍵と所有者の関係を証明することで、本人確認の信頼性を高める仕組みだと説明している。

一方、メールやSMSで受信するワンタイムパスワードを使った多要素認証は、リアルタイムフィッシングや中間者攻撃、マルウェアによる情報窃取などで突破される可能性があると指摘。パスキーやPKIなど、フィッシングに強い認証方式への移行を呼びかけた。

金融庁は、フィッシング耐性のある多要素認証の導入などを盛り込んだ監督指針・事務ガイドラインの改正を実施している。官民・金融業界横断で、利用者への周知を進める。

政府も緊急対策パッケージを決定

今回の注意喚起は、同日に政府が決定した「サイバーセキュリティ緊急対策パッケージ」を受けたものだ。相次ぐサイバー攻撃による情報漏えいを受け、首相官邸で開催された第2回サイバーセキュリティに関する関係閣僚会議で取りまとめられた。

政府はこのパッケージを、AI時代に合ったサイバーセキュリティ体制へ移行するための出発点と位置付ける。サイバー攻撃への対応強化に向け、約100億円規模の予備費も措置した。

被害事例では、既知の脆弱性の放置、ウェブサイトの設定不備、開発時のセキュリティ対策不足など、組織や委託先の基本的な対策が不十分だったケースが多かったという。こうした弱点が、AIの進展により短時間かつ大規模に悪用される時代になったとして、「我が国社会全体で対応すべき課題」だと強調した。

最終的には「世界最高水準のサイバーレジリエンス（復旧力）を確保した社会」を目指す。

パッケージは次の4本柱で構成される。

• AIを活用した基本的なセキュリティ対策の徹底
• 攻撃情報の収集・集約と、捜査・分析体制の強化
• サイバー攻撃への戦略的な対処
• 被害者支援と被害拡大防止策の強化

具体策として、情報処理推進機構（IPA）に高度な専門人材からなる「トップガン人材チーム」を設け、AIを活用した脆弱性検証やペネトレーションテスト（擬似的な侵入テスト）を進める。国家サイバー統括室を中心に、企業やセキュリティ事業者から攻撃情報を集めて分析する体制も整える。

被害を受けた組織や個人が孤立しないよう、相談窓口も整える。事業者向けには、警察の法人被害専用窓口やIPAなどの無料相談、業所管省庁の分野別窓口を設ける。個人向けには、消費生活センター（188）を入口とし、流出被害に遭った人向けの窓口を官邸ホームページで案内する。

国家サイバー統括室が手口情報を各窓口と共有し、どこに相談しても支援につなげる。

10月30日に開設した「サイバー対応特設サイト」には、相談窓口や注意喚起を集約した。偽・誤情報には、関係省庁と連携して正確な情報を発信する。