ソーシャルエンジニアリング
これは、とあるサッカー選手の移籍にまつわる、現在進行形の話です。
背景
今年1月、世界のスポーツメディアは、レアンドロ・パレデス（Leandro Paredes）選手のゼニト・サンクトペテルブルクからパリ・サンジェルマンへの移籍を報じました。4年半契約で、移籍金は約4,000万ユーロ（約50億円）。国際サッカー連盟（FIFA）の規則に従い、パレデス選手の最初の所属クラブであるアルゼンチンのボカ・ジュニアーズは、この契約に対して一定の割合（約3.5%）、金額にして129万9,377.48ユーロ（約1億6,000万円）を移籍先クラブに請求しました。
パリ・サンジェルマンとボカ・ジュニアーズは、3分割での支払いに合意。初回分の51万9,750.99ユーロ（約6,500万円）が、3月6日に支払われることになりました。ここまでは取り立ててニュース性がある話ではありませんが、1つ問題がありました。ボカ・ジュニアーズは支払いを受け取っていなかったのです。
消えた52万ユーロ
3月12日（最初の支払い分が送金完了しているはず）の時点で、入金は確認されていませんでした。もちろん国際送金には多少時間がかかるものですが、ボカ・ジュニアーズは最終的に、パリ・サンジェルマンに問い合わせを行いました。
3月18日、パリ・サンジェルマンは、支払いがすでに行われた旨を返信。22日には、確かに送金が完了したことを伝えるメールを、領収書と共に送付しました。彼らの見立てでは、遅くとも1週間のうちに入金されるだろうとのことでした。
時が経過しました。両クラブは、行方不明のお金についてやり取りを続けました。ついにアルゼンチン側は、FIFAに申し立てを行うと警告。対するフランス側は、厳正に合意に従って送金を行ったと応じ、双方がその旨を確認したはずであると述べました。さらに詳細を求めるアルゼンチン側に対し、フランス側はそれまでのやりとりと文書を送付しました。その内容は衝撃的でした。
ことの顛末
ボカ・ジュニアーズが知ったのは、お金がまずニューヨークの銀行にあるVector Casa de Bolsaというメキシコ企業の口座に振り込まれたこと、その後、メキシコのOM IT Solutions S.A. de C.V.という企業の所有する口座へと移されたことでした。いずれも、ボカ・ジュニアーズの担当者が聞いたことのない企業名でした。
なぜ、こんなことになったのでしょうか。ボカ・ジュニアーズの従業員を名乗る人物から送られたメールのいくつかは、不正なメールアドレスを使ってパリ・サンジェルマンに送られていたことが明らかになりました。この件について関連文書を確認したアルゼンチンのニュースサイト、Infobaeによれば、本来のメールアドレスのドメインが「bocajuniors.com.ar」であるのに対し、詐欺師が使っていたのはドメインを1文字だけ変えたメールアドレスでした（スペイン語記事）。これらのメールには入金に関する指示が書かれており、それにより約52万ユーロが消えてしまったのです。
ボカ・ジュニアーズは法的援助を求め、この記事の執筆時点では調査が進行中です。ある報道では、詐欺師たちがどうにかしてボカ・ジュニアーズの従業員のメールに不正アクセスし、そこからソーシャルエンジニアリングの実行に必要な情報を得た可能性について触れられています（スペイン語記事）。
そのような詐欺に遭わないために
今回の話は、明らかに普通の詐欺事件ではありません。攻撃者は周到に準備を行っていました。ここでアドバイスできるのは、自社従業員に対してセキュリティに関するトレーニングを行うということです。少なくとも、サイバー犯罪者たちが使う可能性のある手口を知るのに役立ちます。
Kaspersky Labでは、既存の脅威についての知識を学び、サイバー犯罪の手口を知るためのプログラムを展開しています。詳細はこちらをご覧ください。
ヒント