ビジネスメール詐欺とは、自社の経営層や取引先企業の担当者を装って金銭を振り込ませる詐欺行為です。英語の「Business E-mail Compromise」の頭文字を取ってBECとも呼ばれています。

BECは、IPA が毎年公開している「情報セキュリティ10大脅威」において、2018 年以降、毎年ランクイン（2022年は8位）している危険性の高い脅威です。BECはメールを受け取った人間の心理を利用してメッセージを送信する攻撃であり、国内・国外を問わず被害状況が年々深刻なものとなっています。

そこで今回は独立行政法人情報処理推進機構（IPA）が公開しているビジネスメール詐欺（BEC）対策特設ページ(https://www.ipa.go.jp/security/bec/index.html)の内容を中心に、BECの攻撃手法や対策を解説します。

ビジネスメール詐欺の被害状況と攻撃パターン

一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）が2019年に実施した国内企業12社を対象としたBECの調査結果によると、BECによる不正な請求額の合計（被害の無かった金額も含む）は約24億円だったと報告されています。

IPAに情報提供されたBECの統計情報によれば、2015年から2022年7月にかけて発生したBECに関する292件の情報提供を受けており、そのうちの27件で金銭的被害が確認されています。

BECの攻撃パターンは大きく2つに分類されています。
一つは取引先企業の請求書を偽装したメールを送信し、攻撃者が指定した口座に金銭の振り込みを要求するパターンです。上記の292件のうち66件はこのパターンに該当します。
そしてもう一つは、経営者や役員、場合によっては従業員になりすましたメールを送信して金銭を振り込ませようとするパターンで、292件のうち226件はこのパターンに該当します。

海外からの攻撃が多いのもBECの特徴で、メールの本文には主に英語が使用されています。しかし、中には日本語によるBECも確認されており、上記の292件のうち26件は日本語による攻撃です。いずれも自社の経営層や従業員を騙るパターンに該当していました。

代表的な偽メールの手口

巧妙な手口で経理や財務部門の担当者を騙して金銭を振り込ませようとするBECですが、よく用いられる手口をいくつか紹介します。

振込先口座の変更を依頼する
主に取引先を騙るパターンに多い手口ですが、攻撃者は事前になんらかの方法で取引関連するメールを盗み見ています。そしてなるべく不自然ではないような支払タイミングを見計らい、金銭を支払う側に偽の振込口座をメールします。
IPAの注意喚起資料によれば、「監査によって一時的にいつもの口座が使えないので別の口座へ振り込んで欲しい」、「支払い内容に一部間違いがあったので修正した請求書を送る（支払先の口座を修正した請求書を添付している）」などとのメールが送信されてくるそうです。また、実際に添付される請求書は本物の請求書を元にして作成されるケースもあり、偽物だと見分けることが難しいこともあります。

また、自社の従業員が給与の振込先口座を変更するメールを送ってくるという攻撃も確認されており、給与が振り込まれていないことを不審に思った従業員からの報告で発覚したというケースもあります。

秘密の相談や案件を装う
自社の経営層を装うパターンに多い手口には、企業の合併買収（M&A）などを理由として、「秘密の案件で相談がある」、「弁護士から連絡があったか」といった内容のメールを送り付け、何度かやり取りした後に入金を依頼するといったものがあります。他の従業員などに相談しないよう秘密の相談を装っていることや、一方的なメールではなく攻撃者と何度かやり取りが発生するため、発覚しにくいという特徴があります。

時節にあった内容を盛り込む
新型コロナウィルス感染症を理由とした損害の発生、不安定な世界情勢で原材料の調達に資金が不足した、あるいは賞与の支払い時期を狙ったBECも報告されています。時節に合った内容を盛り込むことで、偽のメールであることを発覚しにくくするケースといえるでしょう。

引用部分の改変
実際に取引先とのやり取りに攻撃者が割り込み、引用部分に記載されている署名部分に記載されているメールアドレスや電話番号といった内容を改変するケースも報告されています。これは、改変せずに放っておくと、うっかり本当の取引先に連絡されてしまうこともがあるため、発覚を遅らせるための手口だと推測されています。

技術的な攻撃が同時に行われることもある

メールの本文だけでなく、ドメインの詐称、紛らわしい表示名、返信先の偽装、同報先の偽装といった技術的な手口による攻撃も同時に行われるケースも数多く報告されています。

詐称用ドメイン
実際の取引先や自社のドメインに似せた詐称用のドメインを取得して、攻撃に使用することがあります。正規のドメインと一文字だけ違う、「ｎ」と「m」を入れ替えて誤認させる、「.com」を「.net」にするなどトップドメインを変更する、フリーメールアドレスを利用するなどの手口が確認されています。

紛らわしい表示名による偽装
実際は偽のメールアドレスから送付されてきているにも関わらず、メールの差出人（From）に、正規のメールの差出人名やメールアドレスを「表示名」として設定して騙す手口です。一見すると正規のメールアドレスに見えますが、そのまま返信すると偽のメールアドレスにメールを返信してしまいます。

返信先の偽装
メールの差出人（From）に記載されているメールアドレスは正規のメールアドレスを使いっていますが、メールの返信先（Reply-To）に偽のメールアドレスを設定する手口もあります。このメールをそのまま返信すると、差出人ではなく返信先に送られてしまいます。

同報先の偽装
メールの同報者（CC: Carbon Copy）のアドレスを丸ごと偽装する攻撃も報告されています。他の関係者も確認していると錯覚させ、偽のメールであることが発覚するのを遅らせる効果を狙っていると推測されています。

サプライチェーン攻撃の一部である可能性も
BECは取引先を騙る攻撃も多くみられます。しかし、実際の取引先を知る、取引先担当者のメールアドレスを把握する、取引先とのやり取りを盗み見るといったBECの事前準備は、サプライチェーン攻撃の一部である可能性も否定できません。つまり実際の取引先企業がサプライチェーンの被害を受け、その情報を悪用してBECを仕掛けることもあるということです。
取引先企業担当者のPC、場合によっては企業システムが丸ごと乗っ取られ、メールアドレスの偽装などしなくても、正規のメールアドレスとメールサーバーを使用して送るといった可能性も否定はできません。

BECへの対策はどうすればいいのか

人の心理を巧妙に狙う攻撃であるため、BEC対策はITシステムだけでなく、社内外の「人」に対する対策も重要になってきます。

主なBECの被害に遭わないためには、次のような対策を行うことが望ましいと言われています。

・取引先とのメール以外での確認
振込先口座の変更など普段とは異なる対応を求めるメールに対しては、メール以外の方法（電話、FAX、チャット、直接会う）で担当者に確認することを徹底します。
・社内規定の整備
BEC対策を念頭に置き、上記のメール以外での確認のように支払プロセスでのチェック体制を強化すべきです。特に担当者が1名だけで対応できてしまうプロセスはとても危険です。
・普段とは異なるメールやメールアドレスに対する警戒
いつもと文面が違う、言い回しに違和感がある、メールアドレスが異なっている、表示名や返信先が不審といったいつもと違うメールを受け取った際には警戒を高める必要があります。しかし、こうした違和感に気付くには普段から注意をする必要があります。そのため、従業員のセキュリティ教育にはBEC対策を盛り込むようにしましょう。
・不審だと感じた際に情報を共有できる環境を作る
不審だと感じたメール、あるいはBECだということが明らかなメールを受け取った際には、その情報を周囲に共有し、自分たちが狙われていることを自社だけでなく取引先にも周知できる環境を作ることも重要です。
・電子署名の付与
請求書などの重要な書類を受け渡す際には、電子署名を付与してなりすましを防止する対策も有効です。
・類似ドメインの調査
自社のドメインに類似したドメインが登録されていないかを、定期的に確認するようにしましょう。
・ソフトウェアを最新に保ち、セキュリティ対策ソリューションを導入する
OS、アプリケーション、ファームウェアの脆弱性を悪用したサイバー攻撃によって、メールを盗み見られる、メールアドレスの一覧を窃取されるなどBECの原因となることがあります。常にOS、アプリケーション、周辺機器のファームウェアなどは最新の状態を保つようにしましょう。
また、サプライチェーン攻撃などサイバー攻撃を防止するには、効果的にセキュリティ対策ソリューションの導入が効果的です。

BECの被害に遭ってしまったら

IPAではBECの被害に遭った際の対応についても次のように説明しています。

送金のキャンセルや組み戻し手続き
偽の口座へ送金してしまった場合、送金に利用した銀行に送金のキャンセルや組み戻しの手続きを早急に依頼しましょう。
また、海外拠点で振り込みをしてしまった場合や、振込先の口座が海外であった場合、当該地域の現地警察へ連絡し、偽の口座の凍結や資金の回収について相談が必要になります。また、偽の口座が米国にある場合、米国連邦捜査局（Federal Bureau of Investigation：FBI）や米国インターネット犯罪苦情センター（Internet Crime Complaint Center：IC3）へ通報することも有効とのことです。
ただし、これまでIPAで確認している事例では、すでに攻撃者によって資金が引き出されてしまい、回収できなかった事例も多数確認されているそうです。つまり、これらの手続きを行っても資金が回収できるとは限らないということですが、BEC被害が発覚したらすぐに金融機関に連絡することが重要なのは間違いなさそうです。

状況把握、時系列記録、証跡の収集
警察や金融機関へ連絡する際には、調査の資料としてログなど証跡の提示を求められる可能性があります。可能な限り攻撃者から送られてきたメールなどを確保し、状況の把握やどのような経緯でメールが送られてきたかなどの情報をまとめておきましょう。
取引先に偽のメールが送られてくることもあるため、取引先にも偽のメールの確保や状況調査を依頼しましょう。ただし、攻撃者にメールが盗み見られている可能性を考慮し、電話やチャットなどメール以外の方法で取引先と連絡を取り合うようにしましょう。普段から緊急時の連絡方法などを決めておくことが望ましいそうです。
なお、内部犯行による可能性があることを考慮し、調査は最小限の関係者で行うなどの注意も必要です。

暫定対応と原因調査
BEC被害が明らかになった際には、関係者全員が以下の対応を行うべきだとIPAは説明しています。

・関係者のPCに対するウィルスチェック
・関係者のメールアカウントのパスワードの変更
・関係者のメールアカウントへの不正アクセス痕跡の調査
・関係者のメールアカウントに不審な設定が行われていないか調査
・関係者へのヒアリング
・社内外へ向けた注意喚起とグループ会社等含めた情報共有

まとめ

・ビジネスメール詐欺は自社の経営層や取引先を装ったメールで金銭を振り込ませる詐欺行為
・巧妙な文面だけでなくドメインやアドレスを詐称する技術的な攻撃も同時に行うことがある
・ビジネスメール詐欺がサプライチェーン攻撃の可能性もある