ビジネスメール詐欺は脅威が高止まりーー日本では3.8億円の被害が出たことも
ビジネスメール詐欺（BEC）は大ざっぱに言うと、ビジネス版の振り込め詐欺。CEOや取引先になりすまし、「至急、この口座に2000万円振り込んでください」などと送金を命じる。ビジネスのやりとりに見せかけ、不当に大金または機密情報を騙し取る。
そうはいっても、組織もビジネスパーソンたちもそんなに軽率ではない。多くが何らかの段階でニセだと気づく。しかしなかにはベンチャー企業で意思決定が少人数に委ねられていたり、上司が交代したばかり、英語のやりとりで表現の不自然さに気づきにくい……など、隙を狙われてしまうこともある。
トレンドマイクロ ビジネスマーケティング本部 エンタープライズソリューション部 部長 宮崎謙太郎氏は「ビジネスメール詐欺は成功率は低いものの、成功した時のリターンが大きい」と指摘する。個人向けのランサムウェアなら成功しても1件当たり数万円だが、ビジネスメール詐欺だとうまくいけば数百万円から数億円の収入になる。
トレンドマイクロ ビジネスマーケティング本部 エンタープライズソリューション部
部長 宮崎 謙太郎氏
近年、脅威は高止まりしている。トレンドマイクロの調べによると、CEO関連詐欺のメール検出件数（全世界）は、2017年が9,708件、2018年が12,472件。日本では2017年末、大手運輸が3億8000万円をビジネスメール詐欺で騙し取られたことがある。攻撃者は取引先を装い、支払の振込先口座の変更をメールで通知した。担当者は言われるがままに支払を攻撃者の口座に振り込んでしまった。後日、正規の取引先から督促が来たことで、騙し取られたことが発覚した。
経営幹部や取引先を装うには前準備が必要になる。攻撃者は誰と誰がどのようなやりとりをしているか、いつどのような請求がなされるのかを把握した上で、偽のメールを送る。情報が充実しているほど本物らしくなり、詐欺の成功率は高くなる。
前準備の情報収集でよく使われるのがフィッシングやキーロガー。こうしたものからメールのIDとパスワードを入手し、正規の人物のメールにログインする。そうすればメール履歴を閲覧できて、本人になりすまして送信もできてしまう。そのため、メールアカウントの認証は厳しくしておくことはビジネスメール詐欺対策で重要になる。
ビジネスメール詐欺は多くがテキストだけの文面になる。一般的なセキュリティソフトだと添付ファイルやリンクの安全性をチェックするため、テキストだけだとセキュリティソフトで検出しにくいという特徴がある。
