対談：物流×ITが切り開く「なりすまし防止」の未来（6・14　第277回物流塾出演）

花房：前回のセミナー、面白かったですね。PPAP（パスワード付きZIPファイル）とかWi-Fiのセキュリティの話、参加者も食いついてましたよ。
大泰司：PPAPはもう古い手法ですね。逆に危ないんですよ。Wi-Fiも第三者に盗聴されかねない。物流で言えば、発注書や伝票、メールのやり取り全部が狙われるリスクがあります。
花房：実際、変なメール増えてますよ。「お荷物のお届けに関するご連絡」とか、あれフィッシングですか？
大泰司：そうです。URLをクリックさせて、偽のログイン画面に誘導する。今ではAIを使った精巧な文面が多くて、気づきにくい。特に物流業界はターゲットにされやすいんです。
花房：それにしても、うちのドライバーがマッチングアプリで詐欺に遭いましてね。「仕事紹介します」と言われて免許証の写真を送ったら、なりすましに使われたって…。
大泰司：典型的な事例ですね。今は個人だけでなく、法人になりすます手口もあります。積水ハウスが55億円騙し取られた事件、ご存じですか？
花房：あれか、五反田の旅館跡地のやつですね。印鑑証明も名刺も全部コピーだったって話。
大泰司：はい。紙の名刺や印鑑証明は作れてしまいます。でも、適切にデジタル化することで、それが“本物”かどうか、見分けることができます。今注目されているのがデジタルアイデンティティという考え方です。

スマホ1台で「本人証明」

花房：デジタルアイデンティティって、つまり「スマホで本人確認が完結する仕組み」ってことですか？
大泰司：実際に動いている仕組みとしては、そう理解していただいてかまいません。マイナンバーカード（iphone取り込みが6/24から対応）や民間のデジタルIDを使って、スマホ1台で「これは本人で間違いない」と確認できます。顔認証など生体認証を組み合わせれば、スマホを盗まれても悪用は難しい。
花房：物流業界でも使えますか？
大泰司：十分使えます。たとえば引っ越しや配送マッチングサービスで、業者と個人が直接つながる場合、双方の身元確認が大切ですよね。デジタル社員証などを通じて「この人は実在する法人の社員だ」と証明できれば、安全度は格段に上がります。

それに最近では、倉庫や配送センターの出入りにも、スマホによる本人確認を取り入れる企業が出てきています。紙の出入り記録では不正が起きやすいけど、顔認証やスマホ連動のログが残る仕組みなら、万一の時の追跡も簡単です。

花房：なるほど。うちの会社でも、メールやチャットツールで「なりすまし」に困ってます。なりすました人が勝手に業務を受注して、しかも顧客の情報まで持っていかれたり。
大泰司：そういうケースには、二要素認証やアクセス制限が効果的です。たとえばログイン時にワンタイムパスワードをスマホに通知をするなど。業務用アプリには、デバイスやIPアドレスごとに制限をかける。さらに、アクセスログを記録すれば、万が一の際に追跡も可能になります。

小さな会社でもできるセキュリティ対策

花房：でも、中小の物流企業は従業員10人程度の小さな会社。働く人の大半がパート・バイトや派遣社員さんでは、そんな大掛かりなシステムなんて導入できないですよ。
大泰司：よくある誤解ですね。セキュリティは「大企業だけの話」じゃない。たとえば、IPA（情報処理推進機構）が出してる「情報セキュリティ10大脅威」とか「中小企業のためのガイドライン」も無料で公開されています。OSやアプリを常に最新に保つ、怪しいメールは開かない、クラウドのアクセス権を見直すだけでも効果はあります。

それに、月額数百円〜数千円のクラウド型セキュリティサービスもあります。使い方次第で、業務効率も上がりますよ。たとえば自動バックアップやファイル共有など。小さな会社こそ、こうした手軽なツールで守りを固めるべきです。

花房：聞いてると、やっぱり「人」の部分が大事だなぁと。
大泰司：その通り。人はミスするものという前提で、それを技術がカバーすることが大事です。システムと運用のセキュリティーの両輪です。教育や啓発も欠かせません。

特に物流現場では、パートやアルバイトの方も多いですから、定期的な研修や「これをやったら危ない」という簡単なチェックリストがあるだけで、リスクはずいぶん減りますよ。

デジタル社会に「絶対安全」はないけれど

花房：セミナーで「安心・安全な社会が来る」って話が印象的でした。でも本当にそんな社会、来るんですかね？
大泰司：100％の安全はないですよ。でも、「悪さをすれば後で分かる仕組み」は作れるんです。なりすましも、フィッシングも、誰がやったか容易に分かる仕組みをつくれば、抑止力になります。

実際、最近ではIPアドレスやスマホのIMEI番号から、加害者の特定が進むケースも増えています。つまり、「誰が、いつ、どの端末でアクセスしたか」を記録することが、最大の防御になるわけです。

花房：確かに。防ぐだけじゃなく、「やったらバレる」って分かれば、攻撃も減るかもしれませんね。
大泰司：そうなんです。僕たちが目指してるのは、完全な無菌社会じゃなくて、「悪意に対して社会全体が強くなる仕組み」。物流も、ITも、社会も、その方向に動いてます。

花房：今日の話、社内のミーティングでも話してみますよ。何よりもまず、知ることが一歩ですね。
大泰司：ぜひ。知ること、疑うこと、備えること。それが、サイバーセキュリティの第一歩です。

大泰司 章 （おおたいし あきら）Akira Otaishi
PRI（合同会社PPAP総研）代表社員

1992年に三菱電機に入社し、官公庁向けITの営業に従事。日本電子計算（JIP）を経て、2012年よりJIPDECにてメールやWebサイトのなりすまし対策、電子署名等のトラストサービスの普及や電子契約サービス市場の立ち上げ等、電子取引の普及を行った。2020年から合同会社PPAP総研を設立し、DXのコンサルタントとして活動中