デジタル詐欺対策ハンドブック

IT担当者が知るべき ビジネスメール詐欺 (BEC) の巧妙な手口、その技術的背景と対策

ビジネスメール詐欺（Business Email Compromise、以下BEC）は、組織が直面する最も深刻なサイバー脅威の一つです。巧妙な手口で組織の財務部門や経営層を騙し、不正な送金や機密情報の窃取を試みます。単なるフィッシングメールとは異なり、特定の組織や人物をターゲットにし、詳細な事前調査に基づいて行われるため、見破ることが非常に困難です。

本稿では、BECの最新手口とその背後にある技術的な仕組み、そして、企業や個人としてどのように対策を講じるべきかについて、IT担当者の視点も交えながら解説します。

ビジネスメール詐欺（BEC）とは：その多様な手口

BECは単一の手法ではなく、様々なシナリオが存在します。代表的なものをいくつかご紹介します。

• CEO詐欺（または経営層詐欺）： 攻撃者が最高経営責任者（CEO）や役員になりすまし、従業員（特に財務担当者）に緊急の電信送金を指示する手口です。
• 請求書詐欺（サプライヤー詐欺）： 攻撃者が正規の取引先になりすまし、偽の請求書を送付して、送金先口座を攻撃者が管理するものに変更させる手口です。
• 弁護士詐欺： 攻撃者が弁護士や法務担当者になりすまし、機密保持を理由に送金を要求する手口です。
• データ窃盗： 攻撃者が経営層や人事担当者になりすまし、従業員の個人情報（W-2フォームなど給与情報）を要求する手口です。
• アカウント侵害: 攻撃者が実際に正規の従業員や取引先のアカウントを侵害し、そこから不正なメールを送信する手口です。

これらの手口は、単なるメールの文面だけでなく、背後にある技術的な偽装や、ターゲットに関する詳細なソーシャルエンジニアリングを伴います。

BECを可能にする技術的背景と仕組み

BECの成功は、ターゲットを騙すための高度な技術と巧妙な心理的手法の組み合わせにあります。ここでは、技術的な側面に焦点を当てます。

1. メールアドレス・ドメインの偽装

攻撃者は、受信者が正規のメールだと信じるように、送信元メールアドレスやドメインを巧妙に偽装します。

• ドメイン詐称（Domain Spoofing）： メールヘッダーのFrom:フィールドに、正規の組織のドメイン名（例: example.com）を設定する手法です。これは、メール送信の仕組み上、本来の送信元とは異なるドメインを表示させることが可能なため発生します。ただし、SPF、DKIM、DMARCといった認証技術である程度検知・防止が可能です（後述）。
• 類似ドメインの取得（Look-alike Domain）： 正規のドメインと酷似したドメイン名を取得する手法です。例えば、example.comに対してexanple.com（'m'が'n'になっている）、example-co.com、example.co.jpなど、ユーザーが見間違えやすいドメインを使用します。これは技術的には正規のドメインとして登録されるため、従来のメール認証技術だけでは防ぎきれない場合があります。
• 表示名詐称（Display Name Spoofing）： メールクライアントに表示される「差出人名」だけを正規の人物名に変更し、メールアドレス自体は無関係なものを利用する手法です。多くのメールクライアントは表示名を大きく表示するため、ユーザーはメールアドレス本体を確認せずに信じてしまうことがあります。技術的にはメールヘッダーのFrom:フィールドのうち、表示名部分のみを書き換えることで実現されます。例: "佐藤 太郎" <random-address123@free-mail.com>

2. 正規アカウントの侵害

攻撃者が正規の従業員や取引先担当者のメールアカウント自体を侵害し、そのアカウントから不正なメールを送信する手法です。これは最も発見が困難な手口の一つです。

• フィッシング: アカウント情報を窃取するためのフィッシングサイトへ誘導するメールやメッセージを送信します。
• パスワードリスト攻撃/ブルートフォース攻撃: 他所で流出した認証情報のリストを使用したり、総当たり攻撃を仕掛けたりしてパスワードを特定します。
• マルウェア感染: キーロガーや情報窃盗マルウェアをターゲットのデバイスに感染させ、アカウント情報を不正に入手します。

アカウントが侵害されると、攻撃者は過去のメール履歴を参照し、組織のやり取りや関係性を深く理解した上で、非常に自然な形で詐欺メールを送ることが可能になります。

3. マルウェアや正規サービスの悪用

BECのメールには直接マルウェアが添付されることは少ないですが、アカウント侵害のためにマルウェアが利用されたり、不正な送金指示に伴う偽の請求書や指示書をやり取りするために、正規のクラウドストレージサービス（Google Drive, Dropboxなど）がリンクとして悪用されたりすることがあります。これは、メールフィルタリングを回避するための一手法です。

4. 高度なソーシャルエンジニアリング

技術的な側面だけでなく、人間の心理的な隙を突くソーシャルエンジニアリングがBECでは極めて重要です。攻撃者はターゲット組織のウェブサイト、SNS、プレスリリースなどを徹底的に調査し、組織構造、主要人物、取引関係、更には特定の従業員の役割や関係性を把握します。この情報に基づき、説得力のある偽のシナリオを作成します。緊急性や機密性を強調し、受信者が冷静に判断する時間を与えないように仕向けます。最近では、AIを使ってターゲットの文章スタイルを模倣したり、ディープフェイク技術で音声や動画を偽装したりする事例も報告されており、手口はますます巧妙化しています。

BEC被害を防ぐための実践的な対策

BECは多層的な防御が必要です。技術的な対策と組織的・人的対策を組み合わせることで、リスクを大幅に低減できます。

1. メールセキュリティの強化

• SPF, DKIM, DMARCの設定と活用:

  • SPF (Sender Policy Framework): 送信元ドメインが正当なメールサーバーから送信されたものかを確認するための仕組みです。DNSレコードに、そのドメインからのメール送信を許可するサーバーのIPアドレスを記載します。
  • DKIM (DomainKeys Identified Mail): メールが送信途中で改ざんされていないことを確認するための電子署名技術です。送信サーバーがメールに秘密鍵で署名し、受信サーバーはDNSに公開されている公開鍵でその署名を検証します。
  • DMARC (Domain-based Message Authentication, Reporting & Conformance): SPFとDKIMの結果に基づき、受信したメールをどのように扱うか（隔離、拒否など）を送信側ドメインが指定できるポリシー設定です。また、不正なメールが検出された際にレポートを受け取ることも可能です。 これらを適切に設定し、特にDMARCでは隔離（quarantine）や拒否（reject）ポリシーを適用することで、ドメイン詐称によるメール受信を大幅に減らすことができます。受信側組織も、受信メールに対してこれらの認証を必ず実行するようメールゲートウェイやサーバーを設定することが重要です。

• メールゲートウェイ/フィルタリングソリューション: 高度なスパムフィルタリング、マルウェア検知、サンドボックス機能を持つメールセキュリティ製品を導入し、不審なメールを自動的に排除または警告表示させます。特に、表示名詐称を検知する機能や、正規の通信パターンと異なるメールを異常検知する機能を持つ製品が有効です。

2. 認証・アクセス管理の徹底

• 多要素認証（MFA）の導入と利用促進: メールアカウントを含む、組織内の重要なシステムやサービスへのアクセスには、必ずMFAを必須とします。これにより、たとえパスワードが流出しても、不正ログインのリスクを低減できます。
• アカウントの監視と異常検知: 不審なログイン試行、普段と異なる場所や時間からのアクセス、大量のメール送信などの異常を検知する仕組み（SIEMやUEBAなど）を導入し、迅速に対応します。
• 定期的なパスワード変更と強度ポリシー: 定期的にパスワードを変更することを奨励し、推測されにくい十分な強度を持つパスワードポリシーを適用します。ただし、MFAが適切に導入されていれば、パスワード変更頻度よりもMFAの適用範囲と堅牢性が重要になります。

3. 組織内のプロセスとポリシーの見直し

• 支払・送金プロセスの厳格化: 支払いや送金を行う際には、必ず複数の担当者による承認プロセスを設け、メール指示のみでの実行を禁止します。特に、高額な送金や急な送金指示があった場合は、メール以外の手段（正規に登録された電話番号への折り返し電話など）で指示者本人に直接確認を行うルールを徹底します。
• 請求書確認プロセスの強化: 取引先からの請求書は、事前に登録された正規の送付元情報（メールアドレス、郵送先など）や過去の取引履歴と照合し、変更がないか慎重に確認します。送金先口座情報の変更通知があった場合は、必ず取引先の正規担当者に電話等で確認します。
• 内部情報の公開制限: 組織構造、役職者名、担当者名、連絡先などの詳細な情報をウェブサイト等で公開しすぎないように注意します。これらの情報は、攻撃者によるソーシャルエンジニアリングに悪用される可能性があります。

4. 従業員への継続的な教育と訓練

• セキュリティ意識向上トレーニング: BECの手口、技術的仕組み、被害事例、そして疑わしいメールの見分け方（送信元アドレス、表示名、不自然な日本語、緊急性の強調など）について、全従業員に対し定期的な教育を実施します。
• 模擬訓練（フィッシング訓練）: 従業員が実際に不審なメールに適切に対処できるかを確認するために、模擬的なBECメールを使った訓練を実施します。訓練結果を基に、更なる教育の焦点を定めます。
• 報告体制の確立: 従業員が不審なメールを受け取った際に、ためらうことなく速やかにIT部門やセキュリティ担当者に報告できる仕組みや文化を醸成します。

5. インシデント発生時の対応計画策定

万が一BECによる被害が発生した場合に備え、損害を最小限に抑えるための対応計画（インシデントレスポンスプラン）を事前に策定しておきます。これには、インシデントの封じ込め、被害状況の調査、関係機関（警察、金融機関など）への連絡、再発防止策の実施などが含まれます。

最新情報の入手の重要性

サイバー攻撃の手口は常に進化しています。BECも例外ではなく、前述のディープフェイクの利用や、クラウドサービスの新たな脆弱性を突く手法など、新しい手口が登場しています。IT担当者としては、常に最新の脅威情報や対策に関する情報を収集し、組織の防御策を継続的に見直すことが不可欠です。

信頼できる情報源として、セキュリティベンダーが発行する脅威レポート、政府機関や業界団体（JPCERT/CCなど）が提供するアラートやガイダンス、専門性の高いセキュリティニュースサイトなどを積極的に活用しましょう。

まとめ

ビジネスメール詐欺（BEC）は、その巧妙な技術的仕掛けと洗練されたソーシャルエンジニアリングにより、組織にとって深刻な脅威です。メールアドレスやドメインの偽装、正規アカウントの侵害、そしてAIなども活用した情報収集は、従来のセキュリティ対策だけでは防ぎきれない側面を持っています。

しかし、SPF/DKIM/DMARCの適切な設定、MFAの徹底、高度なメールフィルタリングといった技術的対策に加え、支払プロセスの厳格化、継続的な従業員教育、そして迅速な報告・対応体制の構築といった多層的なアプローチを講じることで、被害のリスクを大幅に低減することが可能です。

デジタル詐欺対策ハンドブックとして、読者の皆様がこれらの情報を活用し、ご自身や所属する組織をBECの脅威から守るための一助となれば幸いです。常に最新の情報をキャッチアップし、適切な対策を継続的に実施していくことの重要性を改めて強調いたします。