ビジネスメール詐欺の実例から学ぶ教訓【第2回】

詐欺メール「BEC」は“信じやすい人”からお金を巻き上げる

人の心理を狙うところがビジネスメール詐欺（BEC）の厄介な点だ。オハイオ州の聖アンブローズカトリック教会区の事例やギフトカードをだまし取る事例を通じて、BECの危険性と対策を学ぼう。

公開 2021年04月22日 05時02分

更新 2021年07月21日 02時39分

著者

Katie Donegan

[TechTarget]

印刷する連載新着通知を受け取る

　ビジネスメール詐欺（BEC）は、標的の企業の従業員に詐欺メールを送り、金銭をだまし取る攻撃手法だ。第1回「トヨタの自動車製造を遅らせる――トヨタ紡織を脅したサプライチェーンBECとは」に続き、実際に発生したBECの事件例を紹介する。

併せて読みたいお薦め記事

BECの脅威

なぜメールは危険なのか

事例2．信仰に付け込むBEC

　オハイオ州の聖アンブローズカトリック教会区（Saint Ambrose Catholic Parish）は、2019年にBECで175万ドルをだまし取られた。米連邦捜査局（FBI）の捜査によると、攻撃者は同教会区と取引のある建設会社Marous Brothers Constructionを装って同教会区に電話をかけた。そこで「決済情報を最近変更した」「過去2カ月分の経費が支払われていない」と虚偽の主張をした。

　「私たちは毎月速やかに経費を支払っており、銀行からMarous Brothers Constructionに送金されたことを確認していた。そのため、この電話は私たちにとってショッキングだった」。ボブ・ステック神父は声明にそう記している。

　聖アンブローズカトリック教会区の2件のメールアカウントに侵入した攻撃者は、送金先、支払日、金額に関するやりとりを盗み見て、その情報を基にうその情報を仕立て上げた。これはBECではよくある手口だ。

　非営利組織もBECの標的になることをこの事件は示した。「そうした組織は寄付で成り立つ財務モデルと、本質的に人を信じやすいことが弱点だ。聖域は存在しない」。TechTarget傘下の調査会社Enterprise Strategy Groupでアナリストを務めるデーブ・グルーバー氏はそう分析する。

事例3．ギフトカード詐欺によるBEC

　攻撃者が標的に、ギフトカードを購入してシリアルコードを送るように要求することで、ギフトカードを不正入手する――こうした手口がギフトカード詐欺の代表的な手法だ。攻撃者は以前からギフトカード詐欺を好んで利用している。これはギフトカードが現金と同様に機能するからだ。FBIのインターネット犯罪苦情センターは、ギフトカード詐欺被害報告の件数が、2017年1月から2018年9月までで急増したことを受け、ギフトカード詐欺に対して警戒を呼び掛けた。

　ギフトカード詐欺を目的としたBECを成立させる鍵は、人の心理的な隙を狙う「ソーシャルエンジニアリング」にある。2019年にはユダヤ教会やシナゴーグ（ユダヤ教会堂）を狙うギフトカード詐欺のBECが相次いだ。バージニア、テネシー、カリフォルニア、ミシガンの各州で、ユダヤ教指導者を名乗る人物からのメールが信者に届き、寄付を集めるためにギフトカードを購入してシリアル番号の写真をメールで送るよう促した。

　特にホリデーシーズン（年末年始）やブラックフライデー（小売店がセールを実施する、11月の第4木曜日）の期間にギフトカード詐欺のBECが相次いで観測された。フィッシングへの対策を呼び掛ける団体Anti-Phishing Working Groupの報告書によると、2020年4～6月期に観測されたBECの大半がギフトカード決済を求める内容を含んでいた。