ビジネスメール詐欺（BEC）の脅威とその対策
株式会社エアー サポート担当
サイバー犯罪における被害
米国インターネット犯罪苦情センター (Internet Crime Complaint Center：IC3) のレポートによると、2024年におけるサイバー犯罪の件数は約86万件（前年度比-2%）と前年並の件数が報告されている。
それに対して被害額は毎年増加しており、2024年の被害額は約166億ドル（前年度比+33%）と急増している。これは2020年の被害額と比較するとおおよそ4倍にあたる。
サイバー犯罪の中で今回取り上げるビジネスメール詐欺 (Business Email Compromise, BEC)は被害件数21,442件と他サイバー犯罪の中で際立って多いわけではない（もっとも多い犯罪はフィッシング詐欺で約20万件）。
しかし、被害額は$2,770,151,146と投資詐欺に次ぐ2番目の被害を出しており、その1件あたりの被害の大きさが分かる。
なお、これらの被害件数や被害額はIC3に報告があったものであり、実際の被害件数や被害額は記載の数値より大きなものになることは注意する必要がある。
ビジネスメール詐欺とは
BEC は、偽の電子メールを送信し、従業員を騙すことで資金を詐取するといった、金銭的な被害が発生するサイバー犯罪のことを指す。
BECの多くは、海外の銀行口座を振込先として指定しており、一旦海外に送金してしまうと、その資金を回収することは非常に困難だとされている。またその際、英国と香港にある国際銀行が資金の仲介窓口として機能することが多い。
BECは全米50州と186カ国で報告されており、140カ国以上で不正な送金が行われている。日本においても例外では無く、高額な被害が確認されている。
また、その対象は大企業だけではなく、地方の中小企業なども詐欺の対象となっている。
日本国内におけるBECについて、日本語特有の難解さの為か他国に比べて被害件数が少ない傾向にあったが、2023年頃から生成AIを利用することで、より自然な日本語での詐欺メールが見られるようになり、今後の被害が増加することが懸念される。
ビジネスメール詐欺の手口
IC3が分類しているBECの5つの手口を以下に説明する。
- 取引先との請求書の偽装
請求に係るやりとりをメールなどで行っている際に、取引先の従業員になりすまして振込先を変更した偽の請求書などを送りつけ、振り込みをさせるというもの。
海外の企業との取引を行っている企業が主に被害にあう傾向がある。 - 経営者等へのなりすまし
企業の経営者や企業幹部などになりすまし、企業の従業員に振り込みをさせるというもの。
企業の財務担当者などの金銭管理を行う部門が被害にあう傾向がある。 - 窃盗メールアカウントの悪用
従業員のメールアカウントをなんらかの手段を用いて窃取し、乗っ取った上で、その従業員の取引実績のある別の企業の担当者へ、偽の請求書などを送りつけ、振り込みをさせるというもの。あるいは経営者になりすますケースもある。
メール受信者から見ると正当な相手からのメールであるように見えるため、攻撃であることがより気づきにくい特徴がある。 - 社外の権威ある第三者へのなりすまし
弁護士や法律事務所といった社外の権威ある第三者へなりすまし、企業の財務担当者などに対して振り込みをさせるというもの。
例えば、社長の代理人弁護士になりすまし、緊急を要する機密案件であるかのような旨を担当者に伝え、秘密裏かつ迅速に対応するべきであるかのように圧力をかけて詐欺を仕掛けてくることが特徴。 - 詐欺の準備行為と思われる情報の詐取
詐欺の標的とする企業の経営者や経営幹部、または人事担当などの特定任務を担う従業員になりすまし、企業内の他の従業員の個人情報などの情報を詐取しようとするもので、不正な送金要求の前段階として行われることがある。
詐取された情報は、別のBECなどに悪用されることがある。これは他の4つと異なり、金銭の詐取が目的ではなく、詐欺を行うための情報を得ることが目的だと考えられる。
ビジネスメール詐欺の対策
一般的なBECの対策を以下に記載する。
- 送金先の変更などアカウント情報の変更リクエストについては、メール以外の手段も用いて確認する。
- 使用する全てのオンラインサービスに固有のパスワードを使用する。
- メールに記載されているURLが、その企業／個人からのものであることを確認する。
- 実際のドメイン名のスペルミスを含むハイパーリンクに注意する。
- ログイン認証情報や個人を特定できる情報を電子メールでやり取りしない。
（個人情報を要求する多くのメールは、正当なものに見える場合があることに注意） - メールの送信に使用したメールアドレスが、送信者のアドレスが送信元と一致していることを確認する。
- 預金の紛失などの不正行為がないか、金融口座を定期的に確認する。
- セキュリティ設定の強化（DMARC、SPF、DKIM）で不正な送信者をブロックする。
- 多要素認証（MFA）の導入することでアカウントの乗っ取りを防ぐ。
- 定期的なセキュリティ教育を実施し、従業員に最新の詐欺手口と対策を理解させる。
- メールシステム設定の定期的な確認を行い、不要な自動転送などがされていないことを確認する。
- 送金プロセスや請求書処理に対し、複数の承認を必要とするようにする。
ビジネスメール詐欺の被害
BECによる被害は非常に深刻であり、以下の形で企業に影響を及ぼす。
- 財務的損失: 送金された金額が取り戻せない場合、企業の財務状況に悪影響を及ぼす。
また、調査費用や法的費用、再発防止のためのコストも必要となる。 - 信頼の損失: 顧客や取引先との信頼関係が損なわれる可能性がある。
- 法的影響: 機密情報が漏洩した場合、法的責任を問われることがある。
- 運営の混乱: 内部調査や対応のために業務が停滞することがある。
ビジネスメール詐欺にあった場合の対応
BECの被害にあった場合、迅速な対応が重要である。
- 金融機関への連絡
すぐに金融機関に連絡し、送金のキャンセルや組み戻し手続きなどの依頼を行うこと。資金がまだ引き出されていなければ、回収できる可能性がある。
金融機関が異なればポリシーも異なるため、資金を回収しようとするときに、金融機関がどのような支援を提供するかを知ることも重要である。 - 被害拡大の防止
関係者のパソコンのウイルス感染の有無をチェックする。また、メールアカウントのパスワードを変更し、被害が広がらないようにする。状況により、取引先にも対応を依頼すること。 - 原因調査
被害の全体像を把握するため、どのような経緯でメールが送られてきたかなどについて時系列にまとめる。時間が経つにつれてあやふやになってしまう点もある。
また、取引先に対して攻撃者からメールが送られている場合があるため、取引先に対しても調査を依頼すること。
なお、内部犯行による可能性があるため、最小限の関係者で調査することが望ましい。
また、メールは証拠となるため、サーバのログも含めて保管しておくことが重要。
取引先に対してもなりすましメールが送られている場合があるため、取引先にもメールやメールヘッダ情報等を保存するよう依頼すること。 - 公的機関への連絡
損失額に関係なく、できるだけ早く警察庁（東京都であれば警視庁）に連絡を行うこと。
おわりに
昨今は生成AIの登場により、フェイク動画などを容易に作成することができるようになってきている。生成AIを利用すれば言語の壁を容易く乗り越えることができるように高い精度で、かつ大量に作成しばら撒くことができる。現在のところ日本においては大きな関心事にはなっていないが、大企業や官公庁はもちろん、中小企業や個人も被害者になり得るものであり、今後もリスクが増大することが予想される。
巧妙化する手口や対策を学ぶことで、このようなリスクを最小限にしてもらいたい。
参考）
FBI’s 2024 Internet Crime Complaint Center Report Released (FBI HP)
【注意喚起】偽口座への送金を促す“ビジネスメール詐欺”の手口（独立行政法人情報処理推進機構IPA HP）
怪しいメールを警告してEmotetやマルウェアの被害対策に。「受信Alert」など多彩な機能のOutlookアドイン
WISE Alertの概要を見る
これまでの社員コラムをチェックコラム一覧を見る
