現状と対策を解説

「ビジネスメール詐欺」（BEC）なぜ多発？　「ほぼ全企業が標的」との推計も

米連邦捜査局（FBI）のインターネット犯罪報告書によると、2017年の「ビジネスメール詐欺」（BEC）による損失は6億7600万ドル以上に達した。BECの現状と対策のポイントを解説する。

公開 2018年11月22日 05時03分

著者

Michael Heller

[TechTarget]

印刷する

　保険会社Beazleyの調査レポート「Beazley breach insights」の2018年7月版によると、「ビジネスメール詐欺」（BEC）が増加の一途をたどっている。その背景には何があるのか。BECは、人の心の隙を突く「ソーシャルエンジニアリング」による問題としての側面と、技術的な問題としての側面のどちらが強いのか。

　ソーシャルエンジニアリングの手法を駆使して標的をだまし、犯罪者一味の一員の口座や住所に、資金や物品を送らせる詐欺が、BECだ。その横行を伝える報告書は、Beazley breach insightsだけではない。メールセキュリティベンダーのAgari Dataも自社の調査報告書で、2017年下半期に企業の96％がBECの標的にされたと推計している。

　BECを仕掛ける攻撃者は、事前に標的の詳細情報を調査する。企業Webサイトやインターネット検索、ソーシャルメディアを通じて、企業の役員の名前と肩書、業務スケジュール、組織構造に加え、商品／サービスの詳細などを収集する。これらの情報を使って、正規のビジネスメールそっくりのメールを作成する。これらのメールは、上級経営幹部や実際のパートナーから送信されたように装い、受信者に対して支払いや物品の発送を依頼する内容となっている。場合によっては、攻撃者はこうしたメールを送信した後、電話でフォローの連絡をする。

　インターネット犯罪についてまとめた米連邦捜査局（FBI）の報告書「2017 Internet Crime Report」（2017年版）によると、BECの詐欺メールは以下の5種類に大別できる。

偽の請求書を送る
CEOになりすます
アカウントを侵害する
弁護士になりすます
データを窃取する

　同報告書によると、2017年にはBECとメールアカウント侵害による損失が6億7600万ドル以上に達した。小企業から大企業まで合計1万5690件の被害報告があり、業種による被害件数のばらつきはない。

併せて読みたいお薦め記事

企業版振り込め詐欺「ビジネスメール詐欺」の脅威と対策

「メールセキュリティ」についてもっと詳しく

BECが主要な攻撃手段になった理由

　BECがサイバー犯罪者の間で攻撃の手口としてよく使われている一つの理由は、従来のフィッシング攻撃とは異なり、悪意あるペイロード（攻撃用コード）やURLを使わずに済むシンプルな攻撃だからだ。

　大部分の従業員は、不審なリンクをクリックしてはならないことを学習している。それでもBECは、ソーシャルエンジニアリングを用いて受信者をだまし、何らかの形で攻撃者に利益をもたらすタスクを実行させる。こうしたタスクには、送金、機密情報の共有、クレデンシャル（認証のための資格情報）のリセットなどがある。

　攻撃者は、受信者にこれらのタスクを実行させた結果、不正に取得した社内アカウント情報を使えば、社内の他の従業員やサードパーティーの従業員に対するスピアフィッシング（特定組織を標的にしたフィッシング）ができるようになる。社内メールアカウントは攻撃者にとって、詐欺メールを本物に見せ掛けるのに役立つからだ。

　企業がBECに対抗するには、従業員にセキュリティトレーニングを施し、自分が標的になる可能性と、BECの兆候を察知する方法を理解させる必要がある。詳しい個人情報をソーシャルメディアで公開することの危険性を、従業員にたたき込まなければならない。ソーシャルエンジニアリングの手口を使おうとしているサイバー犯罪者の思うつぼだからだ。職務内容の説明や組織図といった詳細情報は、企業Webサイトから削除する必要がある。スピアフィッシングを容易にするために使われる恐れがあるからだ。

　メールに重大な依頼が記されている場合に、送信者のメールアドレスを二重チェックすることをポリシーに明記することが必要だ。詐欺メールでよく使われるキーワード（「支払い」「緊急」「機密」「秘密」など）にフラグを立てるようメールゲートウェイを構成することも求められる。

　Beazley breach insightsは、オフィススイート「Office 365」を使っている組織が最もBECを受けやすいことを明らかにした。これは、攻撃者がコマンド実行環境「PowerShell」を悪用して、Office 365アカウントにログインする傾向があることが理由だと考えられる。不要なサードパーティーアプリケーションからOffice 365へのアクセスを無効にするとともに、二要素認証を採用することが、このリスクの軽減に役立つ。

印刷する