「ビジネスメール詐欺（BEC）」とは、攻撃者が企業のメールアカウントに不正アクセスし、それを悪用して組織に損害を与えるサイバー犯罪の一種です。 攻撃者は、従業員や顧客、パートナーを騙して有害な行動をとらせるため、経営幹部や信頼できる人物になりすますことがよくあります。 これには、銀行振込の手順の送付、機密情報の提供依頼、または口座情報の変更などが含まれます。
ビジネス向け電子メールを悪用した攻撃は、電子メールが登場した当初から存在しており、その発生頻度、複雑さ、深刻さは増し続けています。 FBIは、BECを、直接的な金銭的損失の点で投資詐欺に次ぐ重大な脅威であると特定しています。
しかし、ビジネスメール詐欺（BEC）とは一体何なのでしょうか。また、BECは他の種類の フィッシング攻撃 やメール詐欺とどのように異なるのでしょうか。
このブログ記事では、BECの定義を説明し、BEC攻撃の仕組みを解説するとともに、最近のビジネスメール詐欺の事例をいくつか紹介し、この増大する脅威から組織を守るためにどのような対策が講じられるかについて考察します。
ビジネスメール詐欺とは何ですか？
ビジネスメール詐欺（BEC）は、 に記載されているようなソーシャルエンジニアリング攻撃の一種であり、 権威、緊急性、互恵性といった心理的戦術を用いて、受信者を操り、要求に従わせるものです。
また、BECはスピアフィッシング攻撃の一種でもあり、正当なビジネスパートナー、ベンダー、従業員のメールアカウントを装うことで、被害者に金銭の送金や機密情報の提供といった悪意のある行動をとらせることを目的としています。
BEC攻撃では、さまざまな手法を用いてメールアカウントを乗っ取ったり偽装したりすることができ、攻撃者は被害者から金銭や情報、さらには のギフトカードさえも要求することが可能になります。。 こうした依頼は、多くの場合、緊急性が高く、機密性があり、あるいは時間的制約があるため、受信者が送信者や取引の真偽を確認することなく、迅速に行動するよう促すものです。
BEC攻撃では、攻撃者はメールのドメインやURLを偽装するなどの手口を用いて、メールを正当なものに見せかけることがあります。 また、電子メール認証の脆弱性を悪用してアクセス権を取得する可能性もあります。
例えば、攻撃者が企業のCEOになりすまし、財務部門にメールを送り、業者への緊急の送金を依頼する場合があります。 そのメールは信頼できる送信元から送られてきたように見えるため、被害者は疑うことなく指示に従ってしまいます。 この攻撃は、多額の金銭的損失をもたらし、組織の評判を損なう恐れがあります。
BEC攻撃は、使用されるメールアカウント、要求内容、および標的となる被害者に基づいて、さまざまな種類に分類することができます。 BEC攻撃の一般的な種類には、次のようなものがあります：
- CEO詐欺： 攻撃者はCEOや上級幹部になりすまし、詐欺用の銀行口座への多額または通常とは異なる送金を要求します
- ベンダー詐欺： 攻撃者は、信頼できるベンダーやサプライヤーを装い、支払いの詳細や請求書の送付先を新しい銀行口座に変更するよう要求します。
- 従業員を装った詐欺： 攻撃者は従業員になりすまし、人事部や経理部に給与の変更、経費精算、または個人融資を依頼します
- データ窃取： 攻撃者は、組織またはその関係者に対し、税務記録、銀行取引明細書、従業員の認証情報などの機密データや情報を要求します。
BEC 対 メールアカウントの乗っ取り（EAC）
しかし、すべての種類のメール詐欺が、類似ドメインやなりすましを利用して他人を装うものというわけではありません。
メールアカウントの乗っ取り攻撃の場合、使用されるメールアドレスはハッキングされたアカウントであるため、 100％正当なものとなります。 EAC攻撃の場合、攻撃者は不正にアクセスし、正当なメールアカウントを乗っ取って、自らの目的や動機に応じてさまざまな行動を行います。
EACは、その攻撃目的が多岐にわたるため、BECに比べてより一般的かつ機会主義的な攻撃形態であると見なされることがよくあります。
しかし、EACとは異なり、すべてのBEC攻撃において、被害者を説得・操作し、攻撃者に利益をもたらす行動をとらせるという手法が用いられます。
次のように考えてみてください： BEC攻撃はEAC攻撃の一種ですが、すべてのEAC攻撃がBEC詐欺であるわけではありません。
EAC攻撃では、データや金融情報を盗み出したり、スパムやマルウェアを送信したり、乗っ取られたアカウントを利用して他のアカウントやネットワークに対してさらなる攻撃を仕掛けたりすることがあります。 これらの行為は悪意のあるものですが、 攻撃者がメールの受信者に有害な要求を実行するよう説得しようとしていないため、 BEC攻撃とは見なされません。
しかし、攻撃者がメールアカウントに不正にアクセスし、それを利用して偽の請求書を送信したり、メールの受信者に悪意のある行動をとらせるよう要求したりすると仮定しましょう。 その場合、攻撃者はEAC攻撃とBEC攻撃の両方を行っていることになります。
EAC攻撃は、攻撃者が侵害されたアカウントのメールのやり取りを監視し、連絡先や取引に関する情報をさらに収集し、それによってより信憑性の高いBECメールを送信する能力を高めることを可能にするため、BEC攻撃を助長する恐れもあります。
[関連記事：ビジネスメール詐欺が、ランサムウェア攻撃よりも企業に大きな損害をもたらす理由]
ビジネスメール詐欺の手口と実例
BEC攻撃は、無作為に行われるものでも、好機を伺って行われるものでもありません。 これらは、高度な手口を持つサイバー犯罪者によって綿密に計画・実行されており、標的になりすますために徹底的な調査を行っています。具体的には、ソーシャルメディアや企業のウェブサイト、プレスリリースなどを精査し、組織やその従業員、ビジネスパートナー、金融取引に関する詳細情報を収集しています。
そして、この情報を基に、正当な送信者の口調、文体、書式に合わせた、説得力があり、個人に合わせたメールを作成します。 また、彼らはビジネスや従業員の動向を分析し、重要な局面で会話に割り込んでくるのです。
例えば、合併の話を耳にした場合、その情報を悪用して、自分たちがその取引に関与しているかのように装い、人々から金銭を送金させるよう説得する可能性があります。
BEC攻撃の標的となるのは、通常、財務担当役員（CFO）や財務部門、人事部門など、金融口座や機密情報へのアクセス権を持つユーザーです。 しかし、組織に新しく入ったユーザーや、社内の方針や手順に不慣れなユーザー、あるいはストレスの多い職務に就いているユーザーを標的にすることもあります。
BEC詐欺を懸念すべきは、知名度の高いグローバル企業だけだと考える方もいらっしゃるかもしれませんが、規模や業種を問わず、あらゆる企業がビジネスメール詐欺（BEC）の標的となる可能性があります。具体的には、次のような企業が含まれます：
医療
また、医療業界は、病院、診療所、薬局、検査機関、保険会社、政府機関など、広範かつ多様な人々や組織からなるネットワークを擁しているため、この種の攻撃に対して特に脆弱です。 攻撃者は、医師、看護師、事務職員、その他の医療従事者を装い、医療費、患者からの支払い、医療機器の購入、あるいは寄付名目で送金を求める詐欺メールを送信してくる可能性があります。 また、個人情報や財務情報、健康記録、検査結果などの機密情報を尋ねてくる場合もあります。
被害者は、送信者を信頼しており、助けたい、あるいは要求に応えたいと考えているため、そのメールの真偽を疑わない場合があります。 さらに、医療業界はしばしば多忙を極め、人手不足に陥りがちであるため、従業員がBEC攻撃を検知・防止することが難しくなる可能性があります。
医療分野におけるBEC詐欺の事例
In 2022, The U.S. Department of Justice announced charges against ten defendants in connection with multiple business email compromise, money laundering, and wire fraud schemes targeting Medicare, state Medicaid programs, private health insurers, and numerous other victims, which resulted in more than $11.1 million in total losses.
These attacks involved using spoofed email addresses resembling those associated with actual hospitals, bank account takeovers, and similar fraudulent methods to deceive victims into believing they were making legitimate payments intended for hospitals to provide medical services. その代わりに、攻撃者たちは被害者の銀行口座から、自分たちが管理する口座へと資金を振り替えました。
法務
法律業界は、高額な取引や時間的制約のある案件、機密情報や特権情報が頻繁に扱われるため、この種の攻撃に対して特に脆弱です。攻撃者は、オンライン上の情報源を利用して、弁護士や依頼人の氏名・連絡先、さらには彼らが関与している法的案件の詳細などを容易に調査することができるからです。
BEC攻撃者は、弁護士や法律事務所を装い、クライアントや法的問題に関与するその他の関係者に詐欺メールを送信することがあります。 攻撃者は通常、弁護士が依頼者から得ている信頼や権威を利用し、緊急かつ機密性の高い連絡が必要であるという状況につけ込み、和解金、報酬、あるいは税金などの名目で送金を要求してきます。 金銭的な損失に加え、弁護士を装う行為は、弁護士と依頼者の双方にとって、評判の毀損、法的責任、あるいは倫理規定違反といった深刻な結果を招く可能性があります。
BEC詐欺の法的事例
Holland & Knight, a law firm representing an education company in a $130 million acquisition deal, received emails from hackers using breached email accounts for two of the company's major shareholders. The hackers asked the law firm to change the payment account for their shares to a different bank and provided fake documents and information to support their request.
The law firm didn't verify the emails or the documents and wired $3.1 million.
ハッカーたちは、正規のメールアドレスや株主の名前を使用していた一方で、法律事務所に要求に従わせるために、緊急性や必要性を強調しました。これは、BEC攻撃の典型的な手口です。
「ランサムウェア攻撃はより多くのニュースの見出しを飾り、インシデント対応事例の割合も高くなっていますが、それにもかかわらず、BEC（ビジネスメール詐欺）のインシデントは効果的であり、実行もはるかに容易であるため、大小を問わずあらゆる組織にとって、より日常的な脅威となっています。」Arctic Wolf、脅威レポート第 2024 号
製造業
製造業の企業も、この種の攻撃を受けやすい傾向にあります。というのも、製造業では通常、多額かつ頻繁な支払いが行われ、複数の取引先が関与し、業務が複雑であるためです。 攻撃者は、サプライヤー、ベンダー、請負業者、または顧客になりすまして、商品やサービスの代金支払いを求めるメールを送信し、銀行口座情報、支払い方法、または配送情報を変更しようとする場合があります。
また、攻撃者は、企業に要求に従わせるために、プレッシャーをかけたり、緊急性を強調したり、脅迫を行ったりすることもあり、その要求を裏付けるために、偽造または改ざんされた請求書、発注書、契約書、または領収書を提供することもあります。 受信者は送信者を信頼しており、ビジネス上の関係を維持したいと考えているため、メールや文書の妥当性や正確性を確認しない場合があります。
製造会社に対するBEC攻撃の事例
2022年4月（）の記事によると、ある製造会社は、取引先の従業員であると見なした人物から、支払い情報の変更を求めるメールを受け取りました。
そのメールは、取引先の実在するメールアドレスから送信されたように見えたもので、「会計年度の更新」を理由に通常の口座への入金を受け付けられないと説明し、代わりに製造会社に2,462,000 ドルを別の偽の口座へ振り込むよう要求していました。
取引先担当者のメールアカウントが偽物であることに気づいた製造会社は、この詐欺を報告し、銀行口座の凍結に成功したため、攻撃者への送金を防ぐことができました。 また、米国シークレットサービスも、不正に取得された銀行口座情報を用いて、犯人の行方を突き止め、身柄を確保することに成功しました。
慈善活動
慈善活動分野も、BEC詐欺の主要な標的の一つとなっています。この分野には、BECメール詐欺のリスクや兆候を十分に認識していない、寛大で思いやりのある人々が関わっているためです。 攻撃者は、正規または偽の慈善団体、財団、非政府組織（NGO）の代表者を装い、寄付を検討している人々に感情に訴える内容のメールを送信しますが、資金を受け取る際には、偽の銀行口座や、不正アクセスを受けた銀行口座、送金サービス、あるいはオンライン決済プラットフォームを提示します。
こうした組織は、世界的な危機や地域的な危機の影響を受けることが多いため、それ自体が寄付に対する切迫感や必要性を生み出してしまうのです。 さらに、寄付者は、善意の活動を支援したいという思いから、また送信者を信頼しているため、その慈善団体やメールの真偽や正当性を確認しない場合があります。
慈善団体を標的としたBECの事例
ハッカーたちは、 2020 ホリデーズ期間中に、一見正当な請求書に見せかけた文書を作成し、ホームレス支援を行うサンフランシスコの非営利団体「One Treasure Island」の宛てに送信しました。 彼らはその非営利団体の関係者を説得し、650,000ドルを送金してもらいました。同団体は凍結された口座から37,000 ドルを取り戻すことができましたが、請求書詐欺のせいで残りの金額は失ってしまいました。
不動産
不動産業界では、通常、電子メールへの依存度が高く、多額かつ頻繁な取引、関係者の変更、緊急の連絡などが伴うため、攻撃者は不動産業者、仲介業者、弁護士、権利登記会社、またはエスクロー代理人を装い、不動産取引の関係者に対して詐欺メールを送信する可能性があります。
攻撃者は、クロージング費用、頭金、手数料、税金などの支払いを要求したり、物件の詳細や書類といった機密情報の提供を求めたりする場合があります。 不動産業界は往々にして変化が激しく、動きが速いため、また被害者は送信者を信頼しており、取引を成立させたいと考えているため、不審な点や不一致に気づかない場合があります。
テキサス州に拠点を置くSaaSプラットフォーム「CertifID」の共同創業者兼CEOであるタイラー・アダムス氏が、『』の『Dark Reading』（）に語ったところによると、簡単な検索を行うだけで、売り出し中のすべての住宅、不動産業者、そして関連する権利登記会社やエスクロー会社の名前をすべて把握することができるとのことです。 さらに調査を進めれば、攻撃者は取引に関わる当事者のメールアドレスを突き止め、その当事者を装って金銭をだまし取ることが可能です。
不動産業界におけるBEC攻撃の事例
2023年3月の記事によると、 コネチカット州スタンフォード在住のは、住宅を購入する手続きを進めていたところ、不動産仲介業者から「特定の口座に426,000 ドルを振り込んでください」という内容のメールを受け取りました。 残念ながら、そのメールは偽物でした。 あるサイバー犯罪者が、不動産業者のメールアドレスを盗用し、購入者を騙して偽の口座へ送金させました。 被害者は、取引の状況を確認するために担当者に電話をした際、自分が詐欺に遭っていたことに気づきました。 警察とFBIに被害届を出した後、その家の所有者は、盗まれたお金のうち425,000 ドルを取り戻すことができました。
これらはBEC詐欺の影響を受けた業界のほんの一例に過ぎませんが、電子メールによる連絡や取引に依存している業界であれば、どのような業界でも潜在的な標的となり得ます。 攻撃者は、脆弱性や弱点をうまく悪用するために、常に手口や戦略を変化させています。 だからこそ、すべての企業や組織がリスクを認識し、BEC詐欺に対して一層の警戒を強めることが極めて重要です。 また、こうした事態を予防し、検知し、対応するための効果的かつ包括的な措置を講じることの重要性を強調しています。
BEC詐欺を見抜く方法
BEC詐欺は見破るのが難しいですが、不可能というわけではありません。 BEC詐欺の可能性を見極めるための一般的な指標としては、そのメールが以下の条件に該当するかどうかが挙げられます：
- 予期せぬもの、緊急のもの、あるいは機密性の高いものであっても、 から送信されたメールには、支払いの実行、銀行口座の変更、機密情報の送信など、直ちに対応を求められる場合があります。
- 経営幹部、ベンダー、またはパートナーから、 宛てに送信されたメールですが、その口調、文体、または形式が、普段の連絡とは異なります。
- 正規のもの（ ）とは、メールアドレス、ドメイン名、または表示名がわずかに異なるもの、例えばスペルが異なるものなど
- 標準的な、あるいは確立されたビジネス慣行や方針からの逸脱、 例えば、異なる支払い方法、通貨、または本人確認プロセスの使用など
- 弁護士、コンサルタント、調停人など、当該取引や状況に関与していると主張する第三者（ ）が関与する要請
BEC攻撃を防ぐためのベストプラクティス
BEC攻撃は、技術的な問題であるだけでなく、人的な問題でもあります。 BEC詐欺を防ぐ最善の方法は、組織と従業員のメールセキュリティを強化し、意識向上を図るための技術的対策と人的対策を組み合わせることです。
従業員の方へ
- オンラインやソーシャルメディア上でどのような情報を共有するか、十分にお気をつけください。
- 迷惑メールや迷惑SMSに含まれる「 」といったリンクは、絶対にクリックしないでください。 ある企業が「問題がある」と言ってきた場合は、その企業のウェブサイトにアクセスして調べてみてください。
- メールアドレスやURL（ ）を注意深く確認し、何か不審な点がないかご確認ください。 メールやURLに、会社の名前や理念とは一致しない言葉が含まれている場合、何か問題がある可能性を示す兆候となるかもしれません。
- 何らかの措置を講じる前に、送信者またはリクエストの身元および真正性を確認してください。 メール以外の方法、できれば直接会って（電話も問題が生じることがあるため）お願いいたします。
- 取引の承認および処理に関しては、社内ポリシーおよび手順（ ）に従ってください。いかなる理由があっても、これらのポリシーを無視したり、迂回したりしないでください。
組織の皆様へ
- 質問を奨励し、従業員、ベンダー、パートナーが疑問を感じた際に確認できるよう促す、オープンなコミュニケーションの文化を築きましょう 。
- のサイバー衛生に関するベストプラクティス（）に従ってください。これには、回避可能な脆弱性を防ぐためにITシステムを定期的に更新することや、既存のメールセキュリティ対策を継続的に評価し、既知のスパム、フィッシング、なりすましメールのフィルタリングを改善する方法を探ることが含まれます。例えば、メールが正当な送信者からのものであるかを確認するために、ドメインベースのメッセージ認証・報告・準拠（DMARC）のような、より堅牢なメール認証プロトコルを導入することが挙げられます。
- のゼロトラストセキュリティアプローチ を採用し、例えば 多要素認証（MFA） を有効化することで、ネットワークへのアクセスを試みるすべての人やマシンを、その安全性が証明されるまでは疑わしいものとみなすゼロトラストセキュリティモデルを徹底してください。
「資金が仮想通貨プラットフォームやサードパーティの決済処理業者へ直接送金されたり、金融機関に開設されたカストディアル口座を経由したりするといった手口が増加していることから、追加のセキュリティ層として二要素認証や多要素認証を活用することの重要性が強調されています。」”FBI IC3 2023 Internet Crime Report
- ドメインネームシステム（DNS）のレポート（）を定期的に確認・更新し、なりすましを防ぐために、自社名のバリエーションとなるドメイン名を登録してください。
- セキュリティ意識向上トレーニング「」に投資し、BEC詐欺の見分け方や報告方法、および不審なメールの特定、フラグ付け、隔離といった、メールセキュリティを強化するためのベストプラクティスについて、従業員に教育しましょう。
BEC詐欺では、必ずビジネス用メールアカウントが使われるのでしょうか？
FBIは、に対し、詐欺師たちがBEC攻撃の範囲を従来のプラットフォーム以外にも拡大させているとして警告を発しました。 ソーシャルエンジニアリングは従来、電話や電子メールのやり取りを組み合わせて行われることが一般的でしたが、人々がリモートワークに移行するにつれ、この手口はや といったオンライン会議プラットフォームにも拡大しています。
次のような状況を想像してみてください： 犯罪者たちが上級幹部のメールアドレスを乗っ取り、それを悪用して従業員にオンライン会議への参加を要請します。 会議中、詐欺師は音声なしまたはディープフェイク音声付きのCEOの静止画を挿入し、自分の音声や映像が機能していないと主張します。 その後、詐欺師は従業員に対し、偽の銀行口座への送金を行うよう指示します。
BEC詐欺は、さまざまな分野の企業や組織にとって、深刻かつ多大な損害をもたらす脅威となっています。 しかし、人工知能（AI）や 機械学習といった自動化技術の進歩に伴い、ハッカーたちはその手口を絶えず洗練させ、攻撃のペースを加速させています。
[Read also: The ultimate guide to AI in cybersecurity]
エンドポイント管理が、効果的なサイバーセキュリティ戦略の重要な要素である理由
BEC攻撃は、当分なくならないでしょう。 こうした脅威や、その他増え続けるサイバー脅威に効果的に対処するためには、組織は、電子メールアカウントやシステムへの不正アクセスを試みる悪意のある攻撃者に対して、より効果的に予防、検知、対応を行うため、自社のセキュリティソリューションが予防的なアプローチと包括的な戦略をサポートしていることを確認しなければなりません。
だからこそ、 のエンドポイント管理 は、あらゆる最新のセキュリティ戦略において不可欠なのです。 本ソリューションは、組織がセキュリティ態勢を改善し、全体的なレジリエンスを強化するために必要な知見を提供します。 IT環境全体を完全に可視化し、管理することで、組織は、管理や保護が行き届いていない資産につながるような死角をなくし、ハッカーによる不正アクセスを防ぐことができます。
Taniumは、 エンドポイントデバイスの管理において、 単一のプラットフォームを通じて、パフォーマンスの監視、脆弱性への予防的対応、および脅威の迅速な是正を実現し、現在市場にある他のどのソリューションにも類を見ないリアルタイムの可視性と制御を提供します。
Taniumが、 Tanium Reveal を活用して、機密データを不正アクセスやデータ流出から保護する方法をご紹介します。このソリューションにより、すべてのエンドポイントにわたるデータを検出、監視、管理することが可能になります。 Taniumは、ゼロトラストアーキテクチャもサポートしています。これは、デフォルトではいかなるユーザーやデバイスも信頼できないものと見なし、継続的な検証と認証を必要とするものです。 Microsoft Entra ID や、その他の アイデンティティおよびアクセス管理（IAM） プロバイダーと連携することで、Tanium はリアルタイムのエンドポイントデータを提供し、アクセスポリシーの策定と強化を支援するとともに、BEC詐欺やその他のサイバー攻撃によるリスクと影響を軽減します。
当社の「自律型IT」における最新のイノベーションは、ITチームがより的確かつ効果的な意思決定を行えるよう支援し、手作業による業務負担を軽減し、最終的にはセキュリティと運用体制を、これまで達成できなかったレベルまで向上させることを目指しています。
のセキュリティ自動化 やエンドポイント管理に関しては、万能な解決策は存在しないことを理解しております。 当社の自律型エンドポイント管理モデルは、実務担当者から管理権限や意思決定権を奪うのではなく、お客様ご自身に主導権を委ねるものです。 Taniumの自律的な未来では、すべての提案や自動化に対して高精度な制御とガバナンスを提供することで、組織は企業ポリシーを設定し、ガバナンスルールを定義し、自組織にとって適切な自律性のレベルを決定できるようになります。
のTaniumプラットフォーム（ ）から得られるリアルタイムのデータと知見を活用し、AIによる分析結果、同業他社の成功率、および顧客のリスク許容度に基づいてアクションを提案・自動化する当社のAEMに対するビジョンは、IT運用チームやセキュリティチームに対し、エンドポイント管理ポリシーに対する制御力を弱めるのではなく、むしろ強化するものです。
今すぐ から、無料の個別デモをご予約ください。Taniumがお客様のセキュリティ戦略や自動化のニーズにどのように役立つかをご確認いただけます。
