昨年の秋、東海岸の名門法律事務所に新しく採用された事務アシスタントが、あるパートナーから6か月の間に3通のメールを受け取り、外部コンサルタントに合計240,000 ドルを振り込むよう求められました。
上司の一人を不快にさせたくなかったため、その事務担当者は振込手続きを行いました。 すべて順調に見えましたが――数か月後、あるサイバー犯罪者がそのパートナーになりすまし、資金を横取りしていたことが判明しました。 同社は被った損害についてサイバー保険の請求を行いましたが、多額の送金については複数の関係者が確認を行うことを義務付ける社内の方針である「二重認証」に従っていなかったため、請求は却下されました。
「このような新入社員を標的としたビジネスメール詐欺は、残念ながらますます頻繁に発生するようになってきています」と、サイバー保険代理店「Cysurance」のCEO、カーステン・ベイ氏は述べています。 「攻撃者は、新しい企業のメールアドレスや、新しい職場に就職した人に関するソーシャルメディアの投稿を頻繁にチェックしています。」 「その後、彼らは企業の幹部になりすまし、従業員が上層部からのメールの正当性を疑うことをためらう心理につけ込んでいます。」
今日、多くの組織がランサムウェアを最大の懸念事項と見なしていますが、 ビジネスメール詐欺（BEC）攻撃 (新しいタブで開きます) は、はるかに以前から存在しているにもかかわらず、その発生頻度、複雑さ、深刻さが増しています。
「ランサムウェアが注目を集めるのは、より刺激的でクール、そしてスパイ小説のような秘密めいた攻撃だからです」と、Aon傘下のStroz Friedbergでエンゲージメント・マネジメント担当副社長兼弁護士を務めるエリック・ギャシ氏は述べています。 「一方、ビジネスメール詐欺については、人々はあまり話したがらないものです。」 だまされてしまい、そのせいで自分が間抜けに思えてしまう、ということはよくあります。 そのため、一般の人々の間では、彼らのことはあまり知られていないのです。 しかし、その発生件数という点では、 のランサムウェア攻撃 と同様に、あるいはそれ以上に深刻な問題となっています。」
静かに拡大しつつある脅威
実際、FBIのインターネット犯罪通報センター（IC3）は、BECを金銭的被害が最も大きいインターネット犯罪として挙げています。 In 2021, BEC and EAC (email account compromise) scams led to roughly $2.4 billion in global cyber losses (opens in a new tab), compared to $49.2 million from ransomware, according to the FBI. What’s more, between 2019年7月 and 2021年12月, BEC/EAC attacks surged 65% and have cost organizations approximately $43.3 billion since 2016 (opens in a new tab), the FBI says.
「ランサムウェアが注目を集めるのは、より刺激的でクール、そして秘密めいた攻撃だからです。」ストロズ・フリードバーグ社のエンゲージメント・マネジメント担当副社長、エリック・ギャシ氏
BECは通常、定期的に電信送金を行っている企業を標的としています。 詐欺師たちは、従業員のメールアカウントに不正アクセスし、その企業の取引先に関する情報を入手します。 その後、彼らは業者に対して、不正な電信送金依頼を送ります。 その後、販売業者は騙されて、犯人が管理する口座へお金を送金させられてしまいます。
かつては、こうしたことは比較的簡単に見分けがつきました。 ユーザーは、 のようにひどく歪んで再現されたブランドロゴや、、不自然な英語、あるいはメール内の荒唐無稽な勧誘文を見かけ、それらが によるフィッシング詐欺の試み であると推測するかもしれません。 しかし、最近ではサイバー犯罪者たちは、自分の痕跡を隠すのが以前より上手になっています。 彼らはCEOやCFOのメールアドレスを偽装し、本物と見分けがつかないような偽のメールを受信者に送信しています。
[関連記事：サイバー詐欺師たちも時事問題に敏感で、トレンドを的確に捉えています。このウクライナ情勢に便乗した、心を揺さぶるような仮想通貨詐欺がその一例です]
また、企業や従業員の動向を分析し、重要な局面で重要な会話に自然に割り込めるよう取り組んでいます。 例えば、合併の情報を得た場合、その知識を利用して、自分たちがその取引に関与しているかのように装い、人々を騙して金銭を送金させようとする可能性があります。
これは、組織が公言したがるよりも頻繁に発生しており、ほぼすべての業界で見られます。具体的には、次のような業界が含まれます：
- Real estate, where scammers have been diverting hundreds of thousands of dollars in seller and buyer funds. About 13,638 people were victims of real estate wire fraud in 2020, with losses totaling more than $213 million, the FBI says. その大部分はBECが原因でした。
- 医療業界では、 のように、サイバー犯罪者が決済処理業者を標的としたBEC攻撃を仕掛け、被害者の支払いを不正に振り向ける事例が見られます。 例えば4月、FBIによると、 175 名以上の医療従事者を擁するある医療関連企業が、従業員を装った人物が、支払処理業者の一つに対する自動決済システム（ACH）の指示を変更し、本来受け取るはずだった医療従事者ではなく、強盗に約840,000 ドルを送金していたことを発見しました。
- 慈善活動、 では、サイバー犯罪者たちが、世界中の人々を支援するために集められた資金を横領しています。 例えば、 2020年の休暇期間中、ハッカーたちは一見正当に見える請求書を作成し、ホームレス支援を行うサンフランシスコの非営利団体「One Treasure Island」（ ）のメールアドレス（）に送信しました。その結果、誰かを説得して、テキサス州オデッサにある銀行口座へ、3回に分けて計650,000 ドルを送金させてしまいました。 同団体は凍結された口座から37,000 ドルを取り戻しましたが、残りは失ってしまいました。
「人間の本性がそうである以上、こうした詐欺は想像以上に実行しやすいものです。」IDCのグループ副社長兼セキュリティ・トラスト・アナリスト、フランク・ディクソン氏
ハッカーの手口がますます巧妙化していることを考えると、BEC攻撃が今後も続くことは明らかです。 むしろ、 人工知能（AI） や 機械学習（ML） といった自動化技術の進歩、さらにはディープフェイク音声や動画の継続的な進化が、彼らの取り組みを加速させていると言えます。
[関連記事：増加しているのはBEC攻撃だけではありません。 企業のリーダーもまた、この奇妙な名前の活動に警戒する必要があります――いえ、これはフィッシングではありません]
しかし、それ以上に、BECが成功し続けているのは、人間の信頼しやすい性質につけ込んでいるからです。 多くの人は、上層部の幹部や大切なパートナー、顧客、あるいはメディアから送られてきたように見えるメールに対して、疑いの目を向けることに抵抗を感じます。 また、彼らは必ずしもすべてのメールアドレスを精査して、それが会社の規定通りの形式で書かれているかを確認しているわけではありません。というのも、率直に言って、彼らにはその時間がないからです――そして、おそらく今後もその時間ができることはないでしょう。
極めて重要な対策
専門家によると、組織は、以下の技術的および手続き上のベストプラクティスを導入することで、人間の傾向を補う必要があるとのことです：
教育と啓発に力を入れましょう。 ベライゾンの「データ侵害調査レポート 2022 」（）によると、データ侵害の 82% は、ソーシャル攻撃、ミス、不正使用など、「人的要因が関与していた」とのことです。 実際、調査会社IDCのグループ副社長兼セキュリティ・トラストアナリストであるフランク・ディクソン氏によると、ランサムウェアやその他の攻撃とは異なり、BECは成功するためにマルウェアさえ必要としないとのことです。 「人間というものはそういうものなので、こうした詐欺は、皆さんが思っているよりも簡単に実行できてしまうのです」と彼は言います。
ディクソン氏は、従業員がBECの攻撃の兆候を見抜き、適切に対応できるよう支援するための研修プログラムへの投資が不可欠であると述べています。
の多要素認証（MFA）を導入してください。。 多要素認証は、ランサムウェア攻撃の被害を最小限に抑えるのに役立っており、現在ではサイバー保険契約における基本的な要件となっています。 これには理由があります。ネットワークや電子メール、金融口座にアクセスする前に、追加のチェックとバランスを設けることで、BECの攻撃を未然に防ぐことができるのです。 逆に、MFAを導入していないと、大惨事につながる恐れがあります。 実際、セキュリティ監視企業のArctic Wolfが今年前半に追跡したすべてのBEC事件において、 被害を受けた組織の80％ がMFAを導入していませんでした。
多層的な防御体制を構築しましょう。 BEC攻撃は必ずしも技術的に高度なものではありませんが、基本的なセキュリティ対策を講じ、ITシステムを定期的に更新することで、その防止に役立ちます。 アナリストたちは、スパムフィルターの利用、安全なファイル共有プロセスの導入、および のゼロトラストアプローチの採用を推奨しています。このアプローチでは、ネットワークへのアクセスを試みるすべての個人やマシンは、その安全性が証明されるまでは疑わしいものとみなされます。
ランサムウェアが世界的な注目を集め続けている一方で、専門家らは、組織がビジネスメール詐欺を軽視してはならないと指摘しています。 この見過ごされがちな脅威は、今後も消えることはありません。 むしろ、その頻度、複雑さ、深刻さは増していると言えます。 今すぐこの問題に取り組むことが極めて重要です。
