国内でも高額被害　「ビジネスメール詐欺」（BEC）を食い止めるための対策とは？（2/2 ページ）

公開 2018年02月13日 05時00分

著者

山外一徳

[トレンドマイクロ]

印刷する連載新着通知を受け取る

BECの組織的対策

　前述の通りBECでは、サイバー犯罪者は従業員に気付かれないように業務メールを盗み見て、なりすましメールを従業員に送ります。なりすましメールの件名や本文などの見た目は、通常の業務メールと何ら変わりません。仮に企業が技術的なセキュリティ対策を実践していたとしても、なりすましメールだと検知できない場合が想定できます。

　技術的対策で業務メールの盗み見を防ぎ、なりすましメールを検知することは、BECの被害に遭わないようにするために必要です。その上で、以下の組織的対策を実施することが重要になります。

不正送金を防ぐ社内プロセスの整備
従業員に対する教育

不正送金を防ぐ社内プロセスの整備

　BECを仕掛けるサイバー犯罪者は、最終的に標的企業の従業員をだまして不正送金をさせます。金融機関がこの不正送金を通常の送金として処理してしまうと、標的企業に高額な被害が発生します。

　攻撃を受けた場合でも不正送金を阻止できるようにするために、企業は送金処理のプロセスや手順を整備し、社内ポリシーとして文書化して徹底することが重要です。ポリシーを徹底するには、例えば次のような仕組みを整備することが有効です。

一定額を超える送金処理の場合は、複数の役職での稟議（りんぎ）を通さないと承認されないようにする
システムに登録済みの振込先にしか送金できないようにする
振込先の変更手続きは書面での通知や本人確認を必須とする

従業員に対する教育

　BECでは経営幹部に限らず、企業内の全従業員が攻撃対象となり得ます。従業員に対する教育や注意喚起をして、BECというサイバー犯罪と、その手口に関する理解を深めることが必要です。従業員がセキュリティ意識を高め、適切な対処方法を習得すれば、不自然な形で経営幹部からの緊急の送金依頼メールを受信したり、取引先から急な支払先変更依頼メールを受信したりした場合でも、メールの内容が妥当かどうかを検討して判断できるようになります。整備した社内ポリシーを従業員に徹底させる上でも、従業員のセキュリティ教育は効果的です。

　3回にわたって、BECの特徴や被害状況、手口、そして対策について解説してきました。トレンドマイクロの推計では、世界におけるBECの累計被害額は2017年末に90億ドルに達し、2018年も継続して拡大します。企業ではBECによる経済的な被害に遭わないよう、今回解説した技術的対策、組織的対策を実践することをお勧めします。

執筆者紹介

山外一徳（やまほか・かずのり）　トレンドマイクロ　コアテク・スレットマーケティンググループ

大学卒業後、官公庁の技術系職員としてセキュアなネットワークシステムの開発プロジェクトなどのセキュリティ業務に8年携わる。その後Webサービス企業でセキュリティソリューションの導入・運用、セキュリティオペレーションセンター（SOC）業務を経験。2015年にトレンドマイクロへ入社し、最新の脅威動向に関する情報をもとに法人向けに特化したマーケティング活動に従事。

印刷する

企業版振り込め詐欺「ビジネスメール詐欺」の脅威と対策

ソーシャルエンジニアリングやキーロガーなどの手段を駆使して通常の業務のやりとりを模倣し、不正に送金処理をさせる「ビジネスメール詐欺（BEC）」。海外を中心に被害が広がり、国内企業にも拡大する可能性がある。BECとはそもそも何なのか。企業にどのような被害をもたらすのか。具体的な対策はあるのか。詳しく解説する。

連載新着通知を受け取る

この連載の記事をもっと見る