2020年に注意する必要があるW-2詐欺などの税金詐欺（メールセキュリティ）

2020.02.27

2020年1月31日、Olesia Klevchuk

米国は再び納税時期を迎えています。つまり、IRS（米国内国歳入庁）、銀行、および企業のIT部門のすべての担当者が税金詐欺について国民に警告するということです。国民は、納税期限を守るために急ぐにつれて、警戒心が低下するため、このような警告を繰り返し受ける必要があります。一方、サイバー犯罪は、過去最多であり、2018年には1.5兆ドル以上の損害を及ぼしています。

通常、税金詐欺ではForm W-2（源泉徴収票）のみが悪用されていると考えられていますが、W-2詐欺の件数は、他のメール詐欺と比較して、減少しています。最近の大規模なデータ侵害によって、PII（個人情報）を盗み出す手段としてのForm W-2の価値は低下していますが、Form W-2は税金還付の詐欺に引き続き悪用されています。W-2詐欺に関するセキュリティ意識が向上しているため、その報告と追跡も向上しています。このため、サイバー犯罪者は他のメール詐欺の方が「ROI（投資利益率）」が高いと気づいています。

このブログでは、W-2詐欺について詳細に説明しています。W-2詐欺は引き続き脅威であるため、W-2詐欺を理解することは重要です。納税時期には、IRSインパーソネーション攻撃もよく実行されています。この攻撃は、IRSまたは「Bureau of Tax Enforcement」を偽装する攻撃者が電話（ロボコールを含む）とメールによって実行する可能性があります。実際は、IRSは電話で金銭を要求することもロボコールをかけることもありません。また、「Bureau of Tax Enforcement」は実在しません。攻撃者は郵便などの物理的手段で文書を送付する可能性もあります。IRSからの文書には、必ず、公印が押されており、口座番号と連絡先が記載されています。疑わしい場合は、疑わしいメールまたは文書に記載されている連絡先ではなく、必ずIRSの連絡先に直接連絡してください。

自分と自社を税金詐欺から保護するには、さまざまな対策があります。

税務シーズン中、一般的に人事および給与の従業員が締め切りに間に合うように業務量が増加し、余裕がなくなります。すべての部門にとって、サイバー犯罪や税関連の詐欺に警戒することが重要です。

IT部門は、企業のセキュリティが最新であり、正しく設定されていること、および企業がベストプラクティスに従っていることを確認する必要があります。この具体例は下記のとおりです。

スピアフィッシング攻撃とインパーソネーション攻撃を防止する。
Form W-2などの機密データが社外の受信者にメールで送信されないように、DLP（データ漏洩対策）テクノロジを使用する。
適切なインシデント対応を行って、税金詐欺をIRSに報告する。

IT部門は具体的な税金詐欺対策などのセキュリティトレーニングとセキュリティ意識向上活動を従業員に行う必要もあります。このようなトレーニングと活動では、メール詐欺以上の税金詐欺、および攻撃に対応する方法について説明する必要があります。

ビジネスマネージャは、ユーザアクセス、ドキュメントの保存、暗号化、および送信に関する情報を適切に取り扱うことができるように、企業ポリシーを確立または再検討する必要があります。また、従業員が必要なすべてのセキュリティトレーニングとセキュリティプラクティスに常に責任を負うようにする必要もあります。

従業員はデータとPIIの取り扱いに関するセキュリティトレーニングと企業ポリシーの最新情報を常に把握する必要があります。また、自分のPIIを慎重に取り扱うように常に警戒する必要もあります。

毎年、IRSは、よくある税金詐欺のリストを提供しています。このリストの2019年版はサイバー犯罪以上の問題を国民に警告するものでした。毎年、このリストが再検討されていることは名案です。

Barracuda Total Email Protectionは、複数のメールセキュリティレイヤによって、企業と従業員を保護します。Barracuda Essentialsは、ランサムウェアなどの高度な脅威からネットワークを保護する包括的なプラットフォームであり、DLP、リンクプロテクションなどのテクノロジを実装しています。Barracuda Sentinelは、AI（人工知能）によって、スピアフィッシング攻撃の可能性がある異常を企業のメールから検出します。

Barracuda PhishLineは、追加的なメールセキュリティレイヤによって、フィッシング攻撃を検出および防止する方法を従業員に教育するコンピュータベースのトレーニングを実行します。Barracuda Forensics and Incident Responseは、企業が攻撃を受けた場合に、IT部門が、数日でも数時間でもなく数分で、攻撃に対応し、損害を防止するためのツールを実装しています。

マルウェアなどの脅威がメール環境にないかを今すぐチェックする場合は、このページでメール脅威を無料でスキャンしてください。