ビジネスメール詐欺（Business E-mail Compromise：BEC）とは、企業や組織に偽の電子メールを送信し、金銭を騙し取る詐欺の手口です。巧妙な内容のメールで従業員を騙し、あらかじめ攻撃者が用意した口座に現金や仮想通過などを送金するよう誘導します。世界的に見てもBECは増加傾向にあり、日本国内でも高額な被害が報告されています。

そこで今回は、独立行政法人情報処理推進機構 (以下、IPA)が公表している「ビジネスメール詐欺事例集」から、BECの特徴や対策について検討してみましょう。

輸入販売企業が海外の偽口座に送金してしまった事例

2019年9月に、輸入販売を手掛ける企業がBECの被害に遭っています。この事例では、実在するイタリアの取引業者を装った攻撃者が、偽の口座に送金するようメールで指示を送っています。担当者はBECだと気づかずにメールやり取りし、偽の口座に送金してしまいました。その後、取引先との電話によってBECであることに気付き、偽の口座を凍結して現地の警察に通報しましたが、既に口座からは資金の半額が引き出された後でした。

この事例で実際に使われた手口は以下です。

複数の偽メールアドレスの使用
返信先(Reply-Toヘッダ)の悪用
同報(CC)メールアドレスの改変
メールの引用部分の改変

攻撃者は複数の偽メールアドレスを使用して「業務担当」と「経理担当」の二役を演じ、お互いのメールを引用しつつ振込先の銀行口座を変更するように指示しています。偽の口座も取引業者のあるイタリアの銀行であったことも、巧妙な詐欺のテクニックの一つと言えるでしょう。

攻撃者から送られる偽メールは、メールの返信先（Reply-To）に細工があり、差出人(From)ではなく、Reply-Toで指定された宛先にメールが返信されるようになっていました。つまり、偽メールが実際の取引先には届かないようになっていたのです。しかも、メールソフトの画面からは宛先の表示名が差出人に見えるため、注意深く実際のメールヘッダを確認しなければ宛先が変わっていることに気付くことは困難です。

偽メールには同報先(CC)として複数のメールアドレスが指定されていました。一見、たくさんの関係者がいるように見せかけていますが、実際にはすべて攻撃者が用意したメールアドレスです。また、攻撃者は入金確認に関するメールをやりとりする際、過去のやり取り部分（引用部分）にあったメールヘッダの情報を削除するなどの改変を行っていました。これらのテクニックもBECであると気づかれないためのテクニックです。

これらはBECで使用されることの多い一般的なテクニックですが、この事例の攻撃者は非常に巧妙な内容のメールで担当者を騙していました。実際に金銭が窃取された９月以前の5月にも、取引先企業を騙った攻撃者との偽メールをやり取りしたことが判明しており、攻撃者は長い時間をかけて取引先企業とのメールを盗み見し、偽のメールが疑われていないことを確認してから犯行に及んでいます。

この事例の詳細については、IPAが公表している以下の資料に記載されています。

事例レポート1
https://www.ipa.go.jp/security/bec/hjuojm0000003c8r-att/000102394.pdf

社長になりすまして企業役員に金銭の支払いを要求した事例

2022年8月、国内企業の社長になりすました攻撃者から、東南アジアのグループ企業の役員に対してM&A (企業合併買収) 協力を求めるBECが送られた事例も紹介されています。この事例では、送金前にBECであることに気付いたため実被害はありませんでしたが、攻撃者はこうしたグローバルに展開する企業を狙うことも多いと言われています。

この事例では、国内企業の社長を騙る攻撃者から、グループ企業の役員に対してM&A案件の対応を依頼するメールが送られています。このグループ企業では、投資案件の振り込みを行う際、国内企業の役員の承認プロセスが必要であったため、役員は攻撃者に対して「M&Aの進め方を社内の誰に相談すればよいか」という質問のメールを返信しています。しかし、攻撃者からは質問に対する返信がなく、口座残高を確認する内容のメールが届いたことで役員は疑念を持ちました。そこで、役員が社長に直接電話で確認したところ、BECであることが発覚しました。

その後、攻撃者から指定する口座への金銭の支払いを要求していますが、既にBECであることを確認していたため、偽の口座に送金は行われていません。

このBECで使われている手口は非常に単純です。

詐欺の成功率を上げるための偽の依頼メール
返信先（Reply-To）の悪用

攻撃者は詐欺の成功率を上げるため、役員に対して「今週中に対応してほしい」など緊急性と機密性が高い業務であることを印象付けるメールを送信しています。Reply-Toを悪用し、前述した海外送金してしまった事例と同様、偽メールへの送信が実際の社長には届かないように細工しています。

なお、この企業では社長のメールアドレスが乗っ取られている可能性を考慮し、メールアカウントパスワード変更や、社長が使用しているデバイスのウイルススキャンなどを実施しています。その後の調査でメールアカウントは乗っ取られておらず、攻撃者が社長の氏名とメールアドレスを騙っただけであることが判明しました。

その後、この企業では今後のBECを防止するために、次のような防止策を行っています。

送信ドメイン認証(SPF)の設定変更による、なりすましメールのブロック
新たな送信ドメイン認証(DMARC)の導入検討
BECに関する注意喚起
IPAが公開しているビジネスメール詐欺対策の啓発動画3の視聴指示

この事例についての詳細は、IPAが公表している以下の資料に記載されています。

事例レポート6
https://www.ipa.go.jp/security/bec/hjuojm0000003c8r-att/case6.pdf

また、この企業が従業員や役員に対して視聴指示を出した啓発動画は、以下で公開されています。

映像で知る情報セキュリティ～映像コンテンツ一覧～「What’s BEC ? ～ビジネスメール詐欺手口と対策～」
https://www.ipa.go.jp/security/videos/list.html

その他にもさまざまなBECの事例が紹介されている

サイバー犯罪の中でも、BECは特殊な攻撃です。フィッシングメールに似ているようにも見えますが、フィッシングメールはメールを送り付けているだけで終わるのに対し、BECの攻撃者はターゲットの企業担当者と何度もメールをやりとりします。そのため、リアリティのある企業間メールをやりとりする能力や、事前にメールを盗み見るなどのサイバー攻撃を実施する技術力が必要になります。また、偽の振込口座を用意し、金銭を窃取した後は速やかに資金を引き出すにはリスクが伴うため、特殊詐欺グループのような組織犯罪であることが多い傾向にあります。

しかしながら、メールという単純な方法の詐欺であるため、振込先の変更依頼など「いつもとは違う」金銭のやりとりについてのメールは、「メールヘッダを確認する」「電話やチャットなどメール以外の手段で確認する」といったことが重要です。特に多額の金銭を動かす場合には十分に注意してください。また、送信ドメイン認証など、なりすましメールを防止する対策を実施することも重要です。

世界的にもBECの脅威は増加しており、IPAが毎年公開している「情報セキュリティ10大脅威」においても2018年の初選出年から7年連続でランキングされています。2024年の[組織]の部門でも8位でした。そのため、IPAではBEC対策の特設ページを開設していますし、警察庁のサイバー警察局でも同様にBECの注意喚起を行っています。

IPA ビジネスメール詐欺（BEC）対策特設ページhttps://www.ipa.go.jp/security/bec/about.html

警察庁サイバー警察局「ビジネスメール詐欺に注意！」https://www.npa.go.jp/bureau/cyber/countermeasures/bec.html

なお、IPAでは、今回紹介した２つの事例を含めて７つの具体的な事例のレポートを公表しています。興味がある方は確認してみてください。

IPA ビジネスメール詐欺の事例集を見るhttps://www.ipa.go.jp/security/bec/bec_cases.html

まとめ

世界的にビジネスメール詐欺（BEC）の被害が増加傾向にある
BECは巧妙な偽メールで金銭を自分たちが用意した偽口座に振り込ませようとする
振込口座の変更を依頼するメールを受け取ったら、メール以外の方法で相手に確認をとること