「スクショがエビデンス」は終わってる 企業が負うコストとリスク、検証プロセスを見直す方法：詐欺師の常とう手段に（2/2 ページ）

セキュリティベンダーのESETは、「スクリーンショットは証拠として不十分」と警鐘を鳴らすブログ記事を公開した。

[＠IT]

企業が負うコストとリスク

　企業の顧客対応部門などには、スクリーンショットが、「注文代金を支払い済み」「口座残高に誤りがある」「返金の約束があった」といった主張の証拠として提示されることがよくある。

　これらの主張が事実なら、企業が対応することで支出が大幅に増加する可能性がある。それらが虚偽であり、却下できたとしても、担当チームが口座履歴、取引記録、配送情報などを調べる工数が発生し、企業の運営コストに響く。

　偽のスクリーンショットがより深刻な結果を招く場合もある。経営幹部の承認を装ったスクリーンショットを受け取った従業員が、緊急の支払いや機密情報の開示に応じてしまうケースがある。

　改ざんされた会話記録が、職場での苦情や、アカウント回復の要請、その他の調査において提出される可能性もある。顧客のオンボーディングに使用された場合、金融サービスのような規制の厳しい業界では、法的リスクにつながる。

　根底にある問題は、画像それ自体以外で確認されていない情報に基づいて、従業員が取り返しのつかない行動を取ってしまう可能性があることだと、ESETは指摘する。

スクリーンショットの提示者が操作できない経路で確認を

　ESETは消費者に、相手が商品の発送や送金などを行った証拠として、スクリーンショットを信用しないようアドバイスする。

　確認をするときは、相手から送られてきたリンクではなく、公式アプリや公式サイトを利用して、マーケットプレースや決済サービス、銀行口座を直接チェックする必要がある。紛争の際は、スクリーンショットを補足資料として使うのは構わないが、決済の参照番号や元のメールといった決定的な証拠を、併せて示すべきだとしている。

　ESETは企業に、スクリーンショットの検証プロセスを見直す方法として、以下を推奨している。

• スクリーンショットを、ソースとなるシステムのログと照合する
• スクリーンショットではなく、検証可能な元のメールやメッセージの提出を求める
• メタデータや自動画像解析ツールは、画像の真偽を確定するものではなく、調査の手掛かりとして扱う
• APIなどを通じてサードパーティーシステムとの連携を強化し、企業が主要な情報源から記録を直接取得できるようにする
• サポート部門や人事部門を対象に、スクリーンショットのみを根拠に、取り返しのつかない対応を取らないように教育する
• 紛争対応に費やす時間を最小限に抑えるために検証方針を顧客に明示する