ビジネスメール詐欺（BEC）とは？仕組み・手口・対策を徹底解説

現代の企業では、カスタマーサポートから人事業務まで、あらゆる場面でメールが活用されています。それだけに、サイバー攻撃が企業を標的にする際、メールは格好の侵入経路となります。その代表例が「ビジネスメール詐欺（Business Email Compromise：BEC）」です。

BEC詐欺は、ソーシャルエンジニアリングと巧妙な欺瞞（ぎへん）を組み合わせ、従業員に知らない相手への電信送金（ワイヤートランスファー）を実行させてしまう手口です。当然ながら、企業が被害に遭う詐欺の中でも最も損失額が大きいものの一つとされています。

では、BEC詐欺とは具体的にどのようなもので、どのような仕組みで行われるのでしょうか。また、被害に遭わないためにはどうすればよいのでしょうか。

ビジネスメール詐欺（BEC）とは何か

BEC詐欺とは、攻撃者がメールを使って他人になりすまし、企業から送金やその他の資産を不正に引き出そうとする詐欺手法です。

「Man-in-the-Email（メール間の攻撃者）」詐欺とも呼ばれます。これは、被害者が「自分は別の相手とやり取りしている」と信じ込ませる点において、中間者攻撃（Man-in-the-Middle攻撃）に似ているためです。

BEC詐欺が成功しやすい最大の理由は、被害者がなりすまされた相手と既に業務上の関係を持っているケースが多いことにあります。

さらに、この手口は非常に広範囲に蔓延しています。FBIの報告によれば、2020年だけでBEC詐欺により米国企業は18億ドルもの損失を被りました。

BEC詐欺の仕組み

まず、攻撃者は標的となる企業を選定します。特定の業界を狙う場合もあれば、単純にセキュリティ体制が脆弱な企業を選ぶこともあります。

次に、企業の公式ウェブサイトやSNSアカウントなど、公開されている情報を駆使して対象企業を徹底的に調査します。

この段階での主な目的は、なりすます相手の特定です。同時に、企業の業務フローを把握し、どのような手口が有効かを見極めようとしています。

なりすましの対象が決まると、攻撃者はその人物のメールアカウントに不正アクセスするか、ドメイン偽装（スプーフィング）によって本物と極めてよく似たメールアドレスを作成します。

最後に、そのメールアカウントを使って送金やその他の有利な対応を引き出します。標的となり得るのは、従業員、顧客、サプライヤーなど多岐にわたります。

BEC詐欺の標的になるのはどんな企業か

BEC詐欺は、実質的にあらゆる企業が標的になり得ます。大企業への攻撃は大きな利益につながる可能性がありますが、小規模な企業への攻撃は実行しやすいという特徴があります。

毎月の資金の出入りがある程度安定した企業であれば、BEC詐欺の脅威は決して他人事ではありません。

BEC詐欺の主な手口と事例

BEC詐欺にはさまざまなバリエーションがありますが、その多くは以下のいずれかに分類できます。

CEO詐欺

攻撃者が経営者やCEOになりすまし、会社の下位ポジションの従業員に連絡を取り、送金やその他の支払いを指示する手口です。

アカウント侵害

BEC詐欺の標的は役員クラスに限りません。ほぼすべての従業員が、本人に気づかれないままメールアカウントを乗っ取られる可能性があります。その後、乗っ取られた企業名義で金融犯罪が実行されます。

偽請求書

偽請求書による詐欺には、大きく分けて2つのパターンがあります。1つ目は、サプライヤーを装った偽の請求書が企業に届くケース。2つ目は、乗っ取られた従業員のメールアカウントから、銀行口座情報を改ざんした請求書が顧客に送られるケースです。この手口は、グローバルに事業を展開する企業が特に狙われやすい傾向があります。

弁護士なりすまし

攻撃者が弁護士を装って従業員に接触し、支払いを要求すると同時に、「法的措置」をちらつかせるなどして受信者に心理的な圧力をかけ、他のメールにも応じさせる手口です。

データ窃取

BEC詐欺の中には、現金ではなくデータの窃取を目的としたものもあります。盗み出した情報は転売されるほか、恐喝やさらなるBEC攻撃の材料として悪用されます。

BEC詐欺を防ぐための対策

BEC詐欺の犯人は、「そもそもBEC詐欺の存在を知らない」「発生しても備えがない」という企業が多いことを巧みに利用しています。

以下の対策を実践して、貴社がそうした企業にならないようにしましょう。

• 従業員教育の徹底： 業務でメールを使用するすべての従業員に対し、BEC詐欺について周知徹底しましょう。フィッシングやソーシャルエンジニアリングに関する研修も併せて実施することが重要です。
• メール運用ルールの見直し： メールの取り扱いに関するプロトコルを策定しましょう。例えば、添付ファイルは慎重に扱う、メールアドレスは必ずダブルチェックする、返信ではなく新規作成・転送で送る（アドレスを手入力させることで誤送信を防ぐ）などのルールが有効です。
• 独自ドメインメールの使用： フリーのメールアドレスは便利ですが、BEC詐欺を仕掛けようとする者にとっては格好の道具にもなります。業務には独自ドメインのメールを使用しましょう。
• 類似ドメインの先行登録： 自社のドメインと類似したドメインを先回りして登録しておきましょう。これにより、攻撃者がなりすまし用ドメインを取得することを防げます。
• SNSでの情報発信を控える： 企業に関する不必要な詳細情報をネット上で共有しないようにしましょう。BEC攻撃に必要な情報の多くは、企業のSNSページから入手できることがあります。
• 強力なパスワードと二要素認証（2FA）： 厳格なパスワード運用ルールと二要素認証（2FA）の強制により、企業メールアカウントがハッキングされるリスクを大幅に低減できます。
• アンチウイルスソフトの導入： マルウェアを利用したBEC詐欺を防ぐ最も簡単な方法です。キーロガーや一部のフィッシング攻撃の防止にも役立ちます。
• 送金前の確認を義務化： 電信送金の前に詳細を確認する手順を標準業務プロセスとして確立しましょう。例えば、一定額以上の支払いについては、ダブルチェック済みの電話番号を使って電話で承認することを全従業員に義務付けるなどの方法があります。

企業をBEC詐欺から守るために

BEC詐欺の発生頻度は今後も増加し続けることが予想されており、企業がこの脅威を正しく認識することの重要性はますます高まっています。規模を問わず、あらゆる企業が攻撃の被害に遭う可能性があり、平均被害額の大きさを考えると、軽視できる問題ではありません。

幸い、こうした攻撃を防ぐための対策は、その多くがシンプルで実践しやすいものばかりです。まずは「この種の攻撃は実際に存在し、頻繁に発生している」という事実を認識することが、防御への第一歩となるのです。