いまさら聞けない「ビジネスメール詐欺」（BEC）とは何か？　1000万円超の被害も（2/2 ページ）

公開 2017年10月24日 05時00分

著者

山外一徳

[トレンドマイクロ]

印刷する連載新着通知を受け取る

なりすましメールによる偽の送金指示

　現在のところ、BECのなりすましメールは英語で書かれているものが大半ですが、それ以外の言語が用いられているケースも確認されています。ここではBECのメールが日本語で記載されていた場合、どのようななりすましメールが送られてくる可能性があるのかを解説します。

　図2は、同じ組織内の幹部を偽ったなりすましメールの具体例です。幹部を偽っているケースでは、なりすましメールを送信するに当たり、正規のドメインと類似のドメインを使う傾向にあります。また極秘の買収案件といった名目で「至急対応願う」「緊急のお願い」といった内容を件名や本文に記載し、経理部門の担当者に送信します。一方で取引先の担当者を偽ったケースでは、実在する取引に対する支払いの振込先が変更された、といったメールを送り付けてきます。

図2　日本語で記載された場合に想定されるBECのなりすましメールの例（英語のなりすましメールを参考にトレンドマイクロが作成、編集部で一部変更）

BECの被害状況

　BECは、ランサムウェアやWebサイトを狙ったサイバー攻撃で見られる、マルウェアの改変や脆弱性の悪用といった技術的なスキルよりも、企業をだますためのソーシャルエンジニアリングのスキルが求められます。こうしたソーシャルエンジニアリングの攻撃を受け、世界中の企業でBECの被害が発生しています。

　BECの脅威は国内の企業にも忍び寄ってきています。トレンドマイクロの調査では、2016年には全世界92カ国の企業がBEC関連のなりすましメールを受信しました。その標的組織数の国別割合を見てみると、日本は2.75％を占め上位5位以内に入っています（図3参照）。

図3　BEC関連のなりすましメールを受信した法人組織数ごとの国別マップ（2016年トレンドマイクロ調べ）

海外での被害事例と国内への影響

　海外ではBECの被害事例が多数報道されていますが、その手口の中に企業内の業務メールやビジネスに関連する内容が含まれることもあり、詳細が公表された事例は決して多くありません。しかし2016年1月に報道されたフランスの産業機器メーカーである中堅企業が被害に遭った事例からは、BECの巧妙なソーシャルエンジニアリングの手口を垣間見ることができます。

　この企業には、まずCEOの外出中に、外部から会計担当者宛てに「CEOから極秘送金の指示メールを送るから、指示に従うように」という電話連絡がありました。その後、会計担当者はCEOになりすました送金指示メールを受信。BECの攻撃を仕掛けるサイバー犯罪者は、追い打ちをかけるように「CEOに依頼された法律コンサルタント」を名乗る電話をかけ、会計担当者に送金処理について指示し、10万ユーロ（約1300万円）の送金処理をさせることに成功しました。

　2017年に入ってからは、東京都内の貿易会社とフィリピンの企業とのメールのやりとりがハッキングによって盗み見られ、金銭が偽の口座に送金された事例も報道されています。既にBECの脅威に直面している日本企業が少なからずあるといえるでしょう。特に以下の3項目に当てはまる日本企業は、BECの影響を受ける可能性があるため注意が必要です。

海外の企業とビジネスをしている
主にメールでやりとりをしている
国外の口座に送金処理をする機会がある

　今回は新たな脅威であるBECについて、その被害状況や特徴などについて解説しました。国内の企業においても、BECの手口をしっかりと理解し、どのように対策していくべきかを検討していかなければなりません。第2回は、BECの巧妙な手口についてさらに詳しく解説します。

執筆者紹介

山外一徳（やまほか・かずのり）　トレンドマイクロ　コアテク・スレットマーケティンググループ

大学卒業後、官公庁の技術系職員としてセキュアなネットワークシステムの開発プロジェクトなどのセキュリティ業務に8年携わる。その後Webサービス企業でセキュリティソリューションの導入・運用、セキュリティオペレーションセンター（SOC）業務を経験。2015年にトレンドマイクロへ入社し、最新の脅威動向に関する情報をもとに法人向けに特化したマーケティング活動に従事。

印刷する

企業版振り込め詐欺「ビジネスメール詐欺」の脅威と対策

ソーシャルエンジニアリングやキーロガーなどの手段を駆使して通常の業務のやりとりを模倣し、不正に送金処理をさせる「ビジネスメール詐欺（BEC）」。海外を中心に被害が広がり、国内企業にも拡大する可能性がある。BECとはそもそも何なのか。企業にどのような被害をもたらすのか。具体的な対策はあるのか。詳しく解説する。

連載新着通知を受け取る

この連載の記事をもっと見る