内閣サイバーセキュリティセンター（NISC）は週末、自治体のe-Taxパスワード再設定を模したフィッシングページの急増を公表した。小規模事業者を偽デジタル庁ログインへ誘導し、マイナンバー連携の認証情報を収集する。セキュリティデスクの山本大樹は、秋の申告期限と「どの省庁がどのポータルを運営するか」の混乱に乗じたキャンペーンだと説明する。税・年金・住民系は本物サイトも似た青白デザインだ。

手口

攻撃者は個人事業主や家族会社に、e-Taxパスワード期限切れや消費税還付には即再認証が必要だとメールする。リンクはモバイルで正しく見えるTLS付きタイポスクワットドメインへ解決する。被害者が法人番号と個人IDを入力すると本物政府サイトへリダイレクトされ、不正申告や口座変更が現れるまで盗難に気づかない。

一部キットはオープンデータの県章を流用し、他は市役所風の汎用印章を使う。NISCは既知の悪性ドメインのチェックサムを掲げ、ISPに反復ドメインのシンクホールを求めた。

中小企業が狙われる理由

インボイス制度と適格請求書ルールでオンライン税務が増え、紙申告の店も増えた。専任ITがなく、会計士がヘッダ未確認で政府風メールを転送する。インフルエンザで事務が薄い時期は、代行する助手が成功率を上げる。

マイナンバー認証は複数サービスを開く。税口座を早く回復しても年金・健保ポータルへの連鎖がありうる。

センターが推奨する防御

メールリンクではなく公式go.jpをブックマークし、対応機関ではFIDO2キーを有効化し、口座変更と申告承認を一人に集中させない職務分掌を。MSPは週末SOCが薄いときにフィッシングとVPN脆弱性が組み合わさるため、リモートアクセスツールをパッチする。

日曜、会計士会が顧客向けテンプレ警告を回し、「至急リセット」メールは別経路で確認するよう促した。

法執行の文脈

警察庁サイバー部門は銀行・物流を装ったBECを優先していた。自治体テーマは新しいが、認証情報売却、還付詐欺、リモートアクセス後のランサムの収益化経路は同じだ。

海外ホスティングは削除を難しくする。警告は国内プロバイダに漢字同形異義ドメインの虐待チケット迅速化を求める。

申告シーズンで変わること

税理士は初回デジタル登録で対面本人確認が増えると見る。デジタル庁はパスワードリセットがフリーメールや地域ISPから来ないと強調する。レガシーフローでは多要素が任意のまま──事故件数が増えれば政策が閉じる余地がある。

会計士とMSPの手順

大手会計ネットワークは日曜、e-Taxプロファイルの口座変更に二人承認を求める顧客向けテンプレを出した。MSPは県名と税キーワードを含む新規ドメイン監視を強化し、週末登録の複数をクリック前に捕捉した。

地方銀行は正当なリセットはブックマークポータル経由のみで、同日還付を約束するSMSリンクは来ないと顧客に再通知した。

企業研修のペース

大企業は月曜朝、消費税申告を扱う財務チーム向けに週末収集の偽ヘッダ・送信ドメイン例を使う説明会を入れた。ITベンダーは政府認証対応ハードウェアキーの注文急増を報告したが、レガシー事務のUSB-Aモデルは品薄だ。

大阪・名古屋の商工会議所は会計ソフト経由で申告する店主向け印刷チェックリストを配布し、正当な機関が「確認預金」として個人口座への振込を求めないと注意した。

通信キャリアは48時間で県税事務所を装った送信IDを回転させたSMSを数千件ブロックしたと述べた。

まとめ

偽自治体e-Taxリセットページが秋の申告前に中小企業の認証情報を収集している。公式ポータルをブックマークし、別経路で確認し、至急パスワードメールは敵対的とみなす──NISCの急増統計は事後報告ではなく先行指標だ。