【事例から学ぶ「有効な不正対策」】　インターネット検索で不正と闘う

インターネット検索で不正と闘う
Fighting Fraud with Internet Searches
ウェブサイトに埋め込まれた手がかり
ENSNARED IN THE WEB

シンシア・ヘザーリントン（ACFE会員）
By Cynthia Hetherington, ACFE Associate Member

　近頃では不正実行者と疑われる人物の詳細な情報をウェブ検索するためのツールがある。
Googleアラートやソーシャルネットワークサイト、金融関連のブログ、広告やオークションサイトに加えて新しい特定分野を専門にするサーチエンジンを使って証拠を掴もう。

　先日、あるクライアントから私宛に電話があった。大量の業務用冷暖房空調設備（ＨＶＡＣ）を満載した会社のトラックが盗まれたというのだ。警察が２０マイル（３２キロメートル）程離れた場所でトラックを押収したものの、２０万ドル相当以上の製品は行方不明のままだった。

　クライアントの調査・損失防止チームは警察と連携し、聴き取り調査を行って、必死に手がかりを探った。ところが結局その盗品はウェブ検索で発見されたのである。私が転売サイトやトレーディングサイトに加えて、オークションサイトも監視していたところ、Craigslist.comで５つも離れた州のＨＶＡＣ業者が紛失した製品の部品そのものを転売していることに気づいた。その業者はシリアルナンバーと商品の写真さえ掲載した。こうして我々は窃盗犯を見つけたのである。

GOOGLEアラートの活用　（USING GOOGLE ALERTS）

　クライアントからの最初の電話では、eBayで盗品を探すように要請された。しかし、それでは決して見つからないとは思いつつも、型番、モデル、シリアルナンバーで検索をした。案の定、何も出てこない。通常のGoogle検索でも何も見つけられなかったのだ。

　しかし、まだ調査は始まったばかりである。私は「Googleアラート」機能を使うことにした。Google.com/alertsに行き「検索キーワード」にＨＶＡＣのモデル番号を入力すると、Googleニュース、ブログ、ビデオ、グループ、ウェブから該当する情報が毎日メールで送られてくる。（下記スクリーン参照）

　アラートでは何百という関係のない情報も送られてきたが、最後にはCraigslist.comでかなり期待のできる情報を得ることができた。米国南西部の再販量販店業者が盗品と類似するＨＶＡＣ機器の写真を投稿していたのである。Craigslist.comはマーケットを地理的に分類しており、実際のフリーマーケットと似ている。ユーザーは同サイトを利用して、匿名のままどんなものでも探すことができる。

　私は購入を検討している客を装って犯人を見つけ出した。この疑わしい人物に電話をし、問題の機器の電力出入力口（Ｉ／Ｏ）部分の写真を撮るように頼んだ。その結果、思ったとおりＩ／Ｏ部分の横に写っていたプレート上のシリアルナンバーが、盗難品のものと一致したのである。

　私がクライアントに御社のＨＶＡＣユニットはいくつかの州をまたいだところにありますと報告すると、クライアントは当局と協力して犯人から盗難品を押収し、告発した。私の知る限りでは、再販業者は地元の町を通りかかったトレーラーの荷台から問題の機器を買ったということだ。彼は「誰から買ったかは覚えていない」と言った。

知的財産の喪失　（LOSING INTELLECTUAL PROPERTY）

　価値ある企業秘密の漏えいや新製品発売の事前情報は、内部者には数百万ドルの価値をもたらし得る。その知識を利用しマーケットで優位に立つことができるからだ。競合他社もまたそのような情報を切望している。そうすれば、「iPhoneの偽物」呼ばわりされる前に製品を分解し、自社製品に仕立て上げられる。事実、全ての主要通信社やハイテク技術系企業は知的財産の社外流出を防ごうと必死で努力している

　数年前、仲間の調査員が私に、ある通信社で事務員として働いていたクライアントの話をしてくれた。彼女は、ヒスパニックのキャラクター漫画を専門に描く熱心なアマチュア・アーティストで、通信社の誰か（おそらく彼女の上司）が、彼女が机の上に置いておいた漫画の落書きを盗み、それを基に作ったヒスパニックのキャラクターが大人気になったと訴えた。残念ながら、クライアントはその他の落書きのほとんどを捨ててしまっており、残っているものにも作成日を記録しておらず、商標登録もしていなかったため、彼女の訴えを証明するのは困難であった。そのヒスパニックのキャラクターは今では、メーシーズの感謝祭パレードで使われる巨大な風船にも描かれるほどの人気ぶりで、おそらく１０億ドルの価値がある。

　もう１つの知的財産喪失の例は、米国中西部に端を発し、中国で終焉を迎えた。あるチェーン店が、私のクライアントである大手家庭用品メーカーに対して、同社の特許品である人工甘味料の模倣品を販売しようとしている者がいると警告してきた。

　人工甘味料の包装に記載されていたのは包装会社の名前だった。私はその会社が外資系で、中国でその模倣品らしき甘味料を製造している会社の製品の受け渡しを密かに行っていることを突き止めた。私はwww.piers.comなどのオンライン輸出入データベースを検索し、その中国の船会社を見つけた。同社のウェブサイトにはなんと私のクライアントが特許を持つ科学的レシピが掲載されていたのである。不正業者は「本物そっくりの」人工甘味料の製造方法を知っていることを証明し、見込み客に示したかったのである。私はクライアントにそのインチキ会社の連絡先を伝えた。（法的にどのような決定がなされたかは知りえない。）

内部者による妨害行為への対処　（COMBATING INSIDER SABOTAGE）

　内部情報や新製品の設計仕様書が金融関連の掲示板（finance.yahoo.com、RagingBull.com、finance.google.comなど）に投稿されることもある。それらの掲示板への書き込みから、企業の不始末に関するうわさや非難について知ることもできる。

　１９９０年代後半の金融関連の掲示板は、「株価操縦」を企む者たちが株価を乱高下させるために虚偽の風説を流布するサイトだった。風説の流布は今でも行われているが、現在ではブログ（ウェブログ）への匿名投稿が主流となっている。

　ブログ上の技術開発情報や意見の書き込みを探すのにうってつけのウェブサイトにengadget.comがある。このサイトでハイテク企業の秘密を暴露している者たちは、中立的な立場だとされているが、知識の豊富さから考えると、私には彼らが社外の人間だとは信じ難い。

　私が調査をしていても、部外者だと考えられていたブログの投稿者が、実は自社の機密情報を流していたということを何度も突き止めたことがある。彼らの中には、自分のしていることが不適切であり、自分が同意し署名した社内規則に抵触していると認識していない者もいる。私が調査をした事件の少なくとも十数件において、不正な投稿をした者は、知識をひけらかして周りからちやほやされたがっている若い男性だった。

　彼らは新製品についてちょっとした情報を見つけると、聖なる情報を携えた神のように扱われたいがために、それを公開せずにはいれられないのだ。

　technorati.comやicerocket.comで検索し、あなたの会社に関する知的財産が共有されていないか確認するとよい。どちらのサイトもブログやソーシャルネットワークの検索を専門としている。

風評被害の阻止　（STOPPING REPUTATIONAL DAMAGE）

　企業は自社の評判を守らなければならない。突拍子もない風評が１つウェブ上に流れるだけで、株価は暴落し、投資家は去っていくものである。

　不公正な取引に抗議する者たちが社屋の前で行進をしていたら、企業は不安に思うだろう。同様に、帰宅後に嘘やひどい怒りに満ちたブログに書き込んでいる不満を抱いた従業員にも注意すべきである。そのような書き込みが、１年後に行われる吸収合併のデュー・ディリジェンスで発覚するような事態も起こりうる。経営陣は赤面しながらそれが根も葉もない嘘であると説明しなければならず、もしかしたらその時には真実らしく見えてしまっているかもしれない。

　でっちあげの書き込みを追跡したり、オンライン上の扇動者や窃盗犯を見つけたりするためにウェブを活用することはできるが、まず個人のEメールアドレスから容疑者のユーザーネームを洗い出す必要がある。会社の人事記録から疑わしい従業員の個人のEメールアドレスを入手できることが多い。（従業員の情報をオンラインで検索する前には、顧問弁護士に確認しなければならない。）

　社外の者による不正が疑われている場合は、すでにEメールアドレスやブログの投稿からユーザーネームが判明していることだろう。

　次に、Flickr.com、Myspace.com、Facebook.comそしてLinkedin.comなどの多数の関連サイトやソーシャルネットワークサイトで疑わしきユーザーネーム（または容疑者の名前）を検索する。（写真が掲載されているブログでは特に写真に注意する。盗まれた品や盗用されたデザインが掲載されているかもしれない。）ユーザーネームや実名を検索できなければ、製品名、品番、製品の特徴で検索する。また地域別にブロガーや投稿者を探す。

　ある事例では、クライアント企業から、同社が監視している掲示板で機密性の高い知的財産を掲載している人物を見つけたので、私にその人物を探し出すよう依頼を受けた。私は、２、３時間のうちにその者を突き止める必要があったが、手元の情報は掲示板から得たユーザーネームだけであった。幸い、その人物は同じユーザーネームを使い、自転車旅行で撮った自分と友人の写真をFlickr.comへ掲載していた。写真とともに掲載された情報には、彼の名前（ファーストネーム）とサンディエゴに住んでいるらしいということがわかった。私は会社のデータベースにある社員証の写真とウェブサイトで入手した写真を照合し、問題の人物を判明させることができたのである。

　Kodak.comやphotobucket.comも同様に利用することができる。（これらのサイトであなたの会社について検索してみるとよい。不適切な写真を見つけて驚くかもしれない。）

　Myspace.comは「Y世代（Y generation, 訳注：米国で１９７０年代後半～８０年代に生まれた世代をいう）」をターゲットにしており、おもに３０歳代以下の人物を探すことができる。サイトの検索ボックスにユーザーネームを入力する際、検索範囲を「Web（初期設定）」から「myspace」に変更するのを忘れないようにする。情報を検索するのに会員になる必要はない。

　名前、ハンドルネーム、Eメールアドレスによる検索に加え、より高度な検索オプションも利用できる。疑わしい人物がプライバシー設定を公開にしていれば、写真やニックネーム、投稿を集めることができる。また、ユーザーネームで検索し、その人物が他のMyspaceボードにも投稿しているかどうかを見ることができる。

　Facebook.comは米国において最も急成長しているソーシャルネットワークで、その他の国でも主要サイトとして知られている。同サイトが特にターゲットとしている年齢層はない。残念ながら、会員登録をし、かつ調査対象人物と接続しなければ、その者のプロフィールに関する情報を検索することはできない。しかし、Myspace.comと同様に、ユーザーの写真やユーザーネームから重要な情報を得ることができる。ここでも、supercoolgirl@gmail.comなどのEメールアドレスで検索すると、ZuprKewlGrrlというハンドルネームのユーザーが返答してくるかもしれない。こうして、全く新しいユーザーネームを知ることができる。

　最後に、Facebook.comやMyspace.comでは、その他のソーシャルネットワークと同じく、各ユーザーには個別の番号が割り振られ、その番号は当該ユーザーのウェブページのURLに表示される。例えば、http://profile.myspace.com/index.cfm?fuseaction=user.viewProfile&friendID=68735632 というURLの場合、このユーザーのID番号は68735632である。Googleでこの番号を検索すれば、誰かが自分のプロフィールからそのサイトを閲覧していることが分かるなど、何らかの手がかりが得られるかもしれない。恐らく、Google検索で入力した番号のページそのものへのリンクが得られる可能性が高い。Googleの検索結果に示されるキャッシュデータから、最近の編集内容を確認できる。

　インドなど多数の国で非常に人気があるサーチエンジンhi5.comも要チェックである。

　ビジネス関連のデュー・ディリジェンスを実施するときはいつも、まずLinkedin.comをチェックする。これは、求職者や人脈形成を狙う人（networkers）、昔の同僚と連絡を取りたい人などが集う、職業人のためのソーシャルネットワークである。（Spoke.comも同様のサイトである。）このサイトへの参加者は、プロフィールに自分の情報を詳しく投稿しすぎる傾向にあるので、求職者があなたの会社に提出した願書と見比べることができる。

　あるケースでは、ある役員が雇用前調査資料に、フランスのフォンテーヌブロー、つまり国際的なビジネススクールであるINSEAD卒と記載していた。しかし、Linkedin.comに掲載されたその者のプロフィールには異なった学歴が掲載されていたのである。INSEADに電話で確認をすると、彼が同校に在籍した事実はないことが分かった。

　常に新しいサーチエンジンにトライし、可能な限りの情報を入手する必要がある。私が最近利用しているサイトには、yoName.com、spokeo.com、lococitato.comなどがある。

監視チームの代役　（REPLACING SURVEILLANCE TEAM）

　新しいソーシャルネットワークやサービス、ウェブサイトは、初めは使いにくいかもしれないが、将来有効なツールとなり得る。社交の場においては、人々は必ずといっていいほどガードが甘くなり、より多くを語り、共有しようとするものである。ソーシャルネットワークのユーザーは、面と向かっては共有しないような情報をサイト上で公開することもある。数年前はFlickr.comのようなサイトは調査には役に立たなかったが、今ではユーザーネームと写真を照合する際の頼れる情報源となっている。

　昔は、関連データを収集するためには、経験豊富な監視チームが必要だった。今では、適切なサイトを当たれば、いくつかキーを叩くだけで情報を見つけ出すことができるのだ。

シンシア・ヘザーリントン（ACFE会員）は、“Data2know.com: Internet and Online Intelligence Newsletter”の発行人で “Business Background Investigations”および“The Manual to Online Public Records”（どちらもFacts on Demand Pressシリーズより出版）の著者である。同氏は私立探偵（Private Investigator）のライセンスを有しており、デュー・ディリジェンス専門の調査コンサルティング会社であるヘザーリントングループの代表である。