BECに対抗する方法

　このような多国籍犯罪グループは、攻撃を仕掛ける要員の拡充に資金を費やしている。BECからどのように身を守ればよいのだろうか。

　標的型攻撃の場合、企業の間ではセキュリティインテリジェンス（脅威情報）を防御に使用する動きが広がっている。米国政府（重要なインフラ用）と民間産業グループがインシデント情報共有・分析センター（ISAC）を設立したことも、こうした動きの一環だ。ただし、これらは犯罪の脅威ではなく、国民国家による脅威に対する標的型攻撃への防御に重点を置く。

　BECに対して効果的な防御策を講じるのは、非常に難しい。すぐに使えるセキュリティインテリジェンスがないからだ。技術的な制御は運任せになる。フィルターを使えば、代理送信されたメールや、実在するドメインに似せた「ドッペルゲンガードメイン」から送信されたメールに、フラグを設定することはできる。

　FBIは企業に対して、会社のものとは少し異なる内線番号が記載されていたり、返信アドレスと送信元アドレスが違ったりするメールに、フラグを設定するといったルールの策定を推奨している。色分けによって社内外のメールを区別することも有用だ。ただしBECメールが大規模に送信されることはほとんどないため、フィルターでは攻撃を見つけられない恐れがある。

　メールは従業員に直接届くことが多い。そのため誰かがソーシャルエンジニアリングを受けて、請求書を受信してしまうことは避けられない。

　BECと戦う鍵は「トレーニング」と「教育」だ。これらはBECによる被害を阻止する方法として効果がある。BECの標的にされるのは、ほぼ間違いなく電信送金を実行できる担当者だ。そのためトレーニングは、財務担当部長やCFOの他、従業員の上司がサポート／監督する必要がある。

　最高情報セキュリティ責任者（CISO）は、そのリスクと攻撃経路を特定することと、経理チームにBECの背景を提供することが主な役割になる。セキュリティトレーニングでは、典型的なBECメールの危険性を示す兆候について、幹部と従業員に注意喚起すべきだ。攻撃を防ぐ方法についても、次のように警告する必要がある。

• 請求書を承認する唯一のソースとして、メールを位置付けないようにする。買掛金チームに対して、複数手順による認可プロセスの教育活動を推進する
• 買掛金の通常プロセスから外れた、急ぎの支払いを求める経営幹部レベルからのメール要請に用心する
• 支払いに関するメールに付属する請求書の、電信送金に関する詳細を確認する。送金先として規制が少ない国にある銀行が指定されている場合は、注意深く処理を進める。BECでは、こうした国の銀行が使われる傾向があるからだ
• BECについて経理チームをトレーニングする。請求書の確認に何らかの安全配慮を必要とするように買掛金プロセスを定める

　ほとんどの企業では、発注と承認に関わるポリシーと手順を確立している。だが上級幹部に対しては、このような認証プロセスを割愛している企業が少なくない。BECを阻止するために、CISOはCFOや経理チーム、つまり簿記係、経理担当者、経理部長と協力する必要がある。それにより、メールのやりとりだけでは支払い要求を承認できないビジネスプロセスを確立する。

　FBIは、音声または対面でのコミュニケーションによって、支払いを承認することを推奨している。ベンダーの支払先を変更する場合、二要素認証を使用することも勧めている。BECに関する意識向上のためのトレーニングを毎年受講するように、全ての幹部に義務付けるべきだ。それにより、サイバー攻撃の詐欺による脅威を常に念頭に置くようにする。