人々がCOVID-19関連の情報を求めることに便乗するサイバー攻撃が猛威を振るっている。BECを用いる攻撃者はこのチャンスに乗じて、さまざまな詐欺メールを生み出している。攻撃者が詐欺メールに記載する内容は、感染拡大や個人向けの防護具（PPE）、ワクチン、ロックダウン（都市封鎖）といった、さまざまな重要事項を捏造（ねつぞう）したものだ。世界保健機関（WHO）などの信頼できる組織からのメールに見せかけて、さまざまなマルウェアや偽情報を含む詐欺メールもあった。

　「攻撃者の観点から見ると戦略は2つある。大物を狙うか小物を狙うかだ」。TechTarget傘下の調査会社Enterprise Strategy Groupでアナリストを務めるデーブ・グルーバー氏はそう解説する。

　米連邦捜査局（FBI）には大規模な医療施設や州政府機関を標的とするCOVID-19関連のBECの報告が複数寄せられた。標的になった組織は、人工呼吸器やPPEなど数が限られる医療物資を受け取る前に、偽の売り手に前金を支払うことになった。別の攻撃では、比較的規模の小さい組織を狙い「新型コロナウイルスのワクチンを接種できる」と称してクレジットカード情報を至急提供するよう催促した。「こうしたBECの小規模のキャンペーン（一連の攻撃行動）は毎日のように発生している」とグルーバー氏は言う。無作為な攻撃は、盗める金銭は1件当たり数百ドル程度だとしても、多くの攻撃を成功させることができれば金額を積み重ねられる。

事例5．確定申告シーズンのBEC

　確定申告シーズンが来るたびにBECが活発化する。攻撃者は企業の経営層になりすまし、メールアカウントを乗っ取って、人事担当管理職に従業員の源泉徴収票のコピーを提出するよう求める。人事担当管理職がコピーを提出すれば、従業員の社会保障番号、氏名、住所、所得、源泉徴収といった個人情報が流出することになる。攻撃者は盗んだ個人情報を使って偽の確定申告をしたり、ダークWeb（限られた手段でしかアクセスできないWeb）で個人情報を売り払ったりといったさらなる悪行に出る。

　給付金の請求や監査など、期限があるものはBECに悪用される恐れがある。「攻撃者は焦りや課税の不安といった感情に突き動かされて行動しそうな人を狙う」とグルーバー氏は言う。

　2017年にBECの被害報告が急増したことを受け、米国税庁や州の税務当局、業界団体は共同で注意喚起を実施し、人事担当者を教育するよう雇用主に促した。この啓発はある程度奏功しているようだ。メールセキュリティベンダーAgari Dataが運営するBEC研究機関Agari Cyber Intelligence Divisionによると、2019年のBECにおいて源泉徴収票を悪用したものはごくわずかだった。どのセキュリティ啓発研修にも言えることだが、防御を緩めないための対策には反復や再研修が有効だ。