3. メールアカウントを侵害して、担当者になりすます

　3つ目は、サイバー犯罪者が標的企業の従業員のメールアカウントを侵害し、メールアカウントに登録されている連絡先の中から複数の取引先に対して偽の支払い依頼メールを送る手口です（図3）。メールアカウントの侵害とは、フィッシングメールID／パスワードといった認証情報を不正に取得し、正規ユーザーになりすましてメールシステムを利用できてしまうことです。

図3　メールアカウントを侵害して担当者になりすます手口のイメージ

　このタイプは、サイバー犯罪者が完全にメールアカウントを乗っ取ってしまうため、業務メールを盗み見るだけでなく、正規のメールアドレスからなりすましメールを送ることも可能になってしまいます。その場合、送信元のメールアドレスを見ても、なりすましメールかどうかを判断することは困難です。

　サイバー犯罪者がメールアカウントの侵害に成功した場合、正規ユーザーが気付かないうちに外部へのメール転送を設定し、業務メールを盗み見てしまう恐れもあります。

　万が一、サイバー犯罪者が複数の取引先に対してなりすましメールを送信した場合、標的企業にとって信用失墜を含め今後のビジネスに大きな影響を及ぼしかねない、深刻な事態に発展する可能性があります。

4. 弁護士になりすます

　4つ目は、サイバー犯罪者が弁護士または弁護士事務所の代表を装って、標的企業の経営幹部や財務部門の担当者に偽の送金指示をする手口です（図4）。ここでもサイバー犯罪者は、あらかじめ盗み見た企業の業務メールの情報を悪用し、巧みに標的企業の従業員をだまそうとします。例えば実際に進行中のビジネスの情報を基に「経営幹部から依頼されて連絡している」「緊急を要する機密案件である」といったことを伝えてくるなど、担当者にプレッシャーを与えて心理的に動揺させる手口を用いてきます。

図4　弁護士になりすます手口のイメージ

　サイバー犯罪者は週の終わりや就業時間の終了間際を狙ってきます。そうした時間帯に攻撃を仕掛けることで、従業員の「早く帰宅したい」という心理を利用し、送金処理の正しい社内プロセスを省略させようとします。

5. 標的企業の従業員・幹部の個人情報を窃取する

　BECには不正送金を目的としたタイプだけでなく、標的企業の従業員や幹部の個人情報を窃取するタイプもあります。これが5つ目の手口です。サイバー犯罪者は、標的企業の人事担当者など特定の任務を担っている従業員のメールアカウントを侵害します。その後、業務メールを盗み見るとともに、盗み見た情報を用いた巧妙ななりすましメールを標的企業の従業員や幹部に送ります。

　この手口でサイバー犯罪者によって窃取された情報が、米国の源泉徴収票である「Form W-2」を含んでいたケースも確認できています。サイバー犯罪者は、こうして得た標的企業の従業員や幹部に関する個人情報を悪用し、さらなる詐欺行為を仕掛けてきます。