ビジネスメール詐欺（BEC）とは何ですか？

• 2022年6月22日

2025年5月2日更新

BECは、電子メール詐欺を用いて組織を欺くサイバー犯罪の一種です。その名称から企業のみを標的としているように思われますが、実際にはあらゆるドメイン所有者が被害に遭う可能性があります。

BEC攻撃では、サイバー犯罪者が、知り合いから送られてきたように見せかけたソーシャルエンジニアリングメールを送信します。そのメールは、自社の役員やマネージャー、あるいはビジネスパートナーやサプライチェーンのベンダーから送られてきたように見える場合があります。こうしたメールでは、業務情報の開示、支払いを要求したり、一見正当なように見えるギフトカードの購入を依頼したりしますが、実際にはそのお金が直接犯罪者の元へ送金される仕組みになっています。

BEC攻撃では、多くの場合、攻撃者があなたのメールアカウントを乗っ取ろうとします。攻撃者がアカウントへのアクセス権を得ると、個人情報を盗み出したり、会社のコンピュータネットワークに侵入したり、ランサムウェアやその他のマルウェアをインストールしたりすることが可能になります。

BEC攻撃において、攻撃者は次のような行為を行う可能性があります：

正規のアドレスをわずかに変えたもの（例：[email protected] 対 [email protected]）を使って、メールアカウントやウェブサイトを偽装します。セキュリティ対策が不十分なメールドメインも偽装の対象となり、被害者に偽のアカウントを本物だと信じ込ませる可能性があります。
スピアフィッシングメールを送信する。これらの偽のメールは、信頼できる送信者から送られたものと被害者に思わせ、機密情報の開示や支払いを促すものである。
マルウェアをインストールする。この悪意のあるソフトウェアは企業のネットワークに侵入し、請求や請求書に関するメールのやり取りにアクセスすることができる。これにより、犯罪者は、不審を招かないよう支払い請求のタイミングを計るための情報を得ることができる。また、マルウェアによって、犯罪者はパスワードや金融口座情報などの個人情報にアクセスすることも可能になる。

以下に、主な5つの種類の FBIが特定した FBIが特定した5つの主なタイプ：

偽の請求書詐欺：海外のサプライヤーと取引のある企業が、この手口の標的となることがよくあります。この手口では、攻撃者がサプライヤーを装い、詐欺師が所有する口座への支払いを求めて送金を依頼してきます。
CEO詐欺：攻撃者が企業のCEOやその他の幹部を装い、財務部門の従業員にメールを送り、不正な口座への送金を要求する。
アカウントの不正アクセス：従業員のメールアカウントがハッキングされ、そのメールの連絡先リストに登録されているベンダーに対して請求書の支払いを求めるメールが送信される。実際には、支払いは不正な銀行口座に送金されてしまう。
弁護士を装った詐欺：攻撃者は、機密事項を担当する法律事務所の弁護士やその他の担当者を装います。この種の攻撃は、業務終了間際の時間帯に電子メールを通じて行われることが多く、被害者は、その連絡の正当性を疑う知識や権限を持たない一般社員である場合がほとんどです。
データ窃取：従業員や経営陣に関する個人情報や機密情報を入手するため、人事部門や経理部門の従業員が標的とされる。こうしたデータは、今後の攻撃において非常に有用となる可能性がある。

なぜビジネスメール詐欺はこれほど深刻な問題なのでしょうか？

ビジネスのオンライン化が進むにつれ、サイバー犯罪者がBEC攻撃やその他のサイバー犯罪で人々を標的にする機会が増えています。世界中で、この犯罪の発生頻度、手口の複雑さ、そして被害額が増加しています。

犯罪者たちは、人々を標的にするための新たな手口を常に模索しています。フィッシング攻撃が大量に無差別に送られていた時代と比べ、彼らの手口はより巧妙になっています。こうした犯罪者たちは綿密な調査を行い、人々の感情や、選挙、自然災害、テロ攻撃、さらには新型コロナウイルス感染症（COVID-19）のパンデミックのような世界的な出来事を利用しようとします。

BEC攻撃の兆候とは？

サイバー犯罪者は狡猾で、被害者を騙すために実績のある手口を用います。以下の兆候には十分注意してください：

理由のわからない焦り
送金指示や受取人口座情報の直前の変更
既存のコミュニケーションプラットフォームやメールアドレスにおける直前の変更
連絡手段はメールのみとし、電話やオンラインの音声・ビデオ通話プラットフォームを通じた連絡を拒否する
これまで前払いが求められていなかったサービスについて、前払いを求めること
従業員や雇用主から、給与振込先の変更を求める予期せぬ依頼

サイバー犯罪者は、悪用できる新たな手口や時事問題を見つけると、非常に素早く対応を変化させます。手口の進化を常に把握しておくことで、組織はこうした標的型攻撃から身を守るための適切な対策を講じ、最新の詐欺の手口に騙されることを防ぐことができます。

ビジネスメール詐欺を防ぐ方法

ドメイン所有者として、まず考慮すべきリスクは、ドメインの悪用です。ドメインは、組織内でのコミュニケーションや、見込み客、既存顧客、ベンダーといった外部のステークホルダーとのやり取りに用いられる、対外的な資産です。組織のドメインが悪用されるリスクは極めて高いですが、その解決策は比較的簡単です。

ドメインベースのメッセージ認証・報告・適合性(DMARC）は、オープンなインターネット標準であり、業界のベストプラクティスとして、ドメインのなりすましに対抗し、組織がオンライン上の存在感を管理し、データ侵害によるブランド価値の低下を防ぐことを可能にします。メールエコシステム全体でのDMARCの導入が加速し続けるにつれ、重要なメール通信チャネルおよびインターネット全体がより安全なものとなるでしょう。

エンドユーザーとして、BECやフィッシング攻撃から身を守るための方法は以下の通りです：

いかなるメールに対しても、ログイン情報、口座番号、または個人を特定できる情報を決して教えないでください。
ソーシャルメディア上で情報を共有する際は注意が必要です。うっかりすると、犯罪者にパスワードを推測したり、セキュリティの質問に答えたり、ソーシャルエンジニアリングによる詐欺を仕掛けるために必要な情報を与えてしまう可能性があります。
アカウント情報の更新や確認を求める、見知らぬ送信元からのメールやテキストメッセージに含まれるリンクをクリックしたり、添付ファイルを開いたりしないでください。その代わりに、その会社の電話番号を自分で調べて（怪しいメールに記載されている番号は使用しないでください）、その会社に電話して、その依頼が正当なものかどうか確認してください。
メールアドレス、URL、スペル、文法をよく確認してください。詐欺師は、わずかな違いを利用して目を欺き、信頼を勝ち取ろうとします。
二要素認証または多要素認証を設定してください。
支払いおよび購入の依頼をリアルタイムで確認し、正当なものであることを確認してください。また、口座番号や支払い方法に変更がある場合は、依頼者本人と確認を行う必要があります。
特に、その依頼が緊急を要するものであったり、時間的制約があったり、あるいは感情に訴えかけてくるものである場合は注意が必要です。これらは昔からある欺瞞の手口です。

BECの危険性について、ご自身と従業員に周知徹底することは極めて重要です。なぜなら、メールシステムが侵害されると、組織の評判や財務に長期にわたる損害をもたらす恐れがあるからです。リスクを認識し、適切な対策を講じることで、こうした問題を未然に防ぐことができます。