トヨタの自動車製造を遅らせる――トヨタ紡織を脅したサプライチェーンBECとは：ビジネスメール詐欺の実例から学ぶ教訓【第1回】

ビジネスメール詐欺（BEC）の攻撃パターンの中に、サプライチェーンを狙うものがある。トヨタ紡織が被害を受けたBECがまさにそれだ。攻撃者はトヨタ紡織にどのようなBECを仕掛けたのか。他の企業が得られる教訓は。

[Katie Donegan，TechTarget]

　ビジネスメール詐欺（BEC）には歴史がある。当初の手口は、攻撃者が疎遠になっていた親族や“ナイジェリアのプリンセス”を装って「早急に送金してほしい」と要求するものだった。後になって振り返ると、そうした詐欺は原始的に思える。技術やサイバー攻撃が進化したにもかかわらず、攻撃者がBECに使う手段はほとんど変わっていない。BECが、技術の進化では解決できない人の心理という弱点を突く「ソーシャルエンジニアリング」を悪用するためだ。

　現代のBECは、特定の標的を狙う詐欺「スピアフィッシング」などの手段で盗んだ認証情報を利用してメールアカウントに不正ログインし、標的の企業の機密データを盗み取れる状態を確立する。次に人の心理を操って従業員をだまし、信頼できる相手を装って攻撃者に機密データや現金を送らせる。

併せて読みたいお薦め記事

BECの脅威

• ランサムウェアを超える勢いの「ビジネスメール詐欺」（BEC）　FBIの推奨策は
• “社長からのメール”は疑うべき？　「ビジネスメール詐欺」（BEC）の巧妙な手口
• いまさら聞けない「ビジネスメール詐欺」（BEC）とは何か？　1000万円超の被害も

なぜメールは危険なのか

• 「メール」はなぜ危険なのか？　取るべきセキュリティ対策は？
• サイバー攻撃者の視点で理解する「なぜメールばかりが狙われるのか」

　先入観を突くBECを食い止めることは特に難しい。正規のメールと詐欺メールを見分けるだけでも十分困難だが、それはBECのリスクを低減する対策の一つでしかない。BECの金銭的被害は深刻化する恐れがあり、攻撃者は効率の良さを理由にBECを盛んに仕掛けている。本連載が紹介する5つのBEC事例を通じ、よくある手口を理解して攻撃を見抜く備えをしよう。

事例1．サプライチェーンを狙うBEC