is702

従業員をだまして送金させる詐欺が流行!?経営幹部を装うビジネスメール詐欺に要注意

2016/09/01
従業員をだまして送金させる詐欺が流行!? 経営幹部を装うビジネスメール詐欺に要注意

企業や組織から金銭をだまし取るためのビジネスメール詐欺「BEC:Business E-mail Compromise」が急増しています。BECの典型的な手口は、経営幹部などを装うメールを従業員に送りつけ、サイバー犯罪者が事前に用意した口座への送金を指示するというものです。BECの手口と対策を確認しましょう。

偽の業務メールで従業員に送金させる

社会人のみなさんは、業務指示を装った詐欺メールに注意してください。ここ最近、企業や組織から金銭をだまし取るためのビジネスメール詐欺「BEC」が急増しています。BECは、サイバー犯罪者が経営幹部や取引先の実在する人物になりすましてメールを従業員に送りつけ、事前に用意した口座への送金を指示することにより金銭をだまし取る詐欺の手口です。

「米連邦捜査局(U.S.Federal Bureau of Investigation、FBI)」によると、2015 年1 月から2016 年6 月までに世界で2 万2000 件の被害が発生し、被害総額は30 億米ドル(約3024 億円)に達しています。
今回は、企業や組織を狙う新たなサイバー犯罪であるBECについて詳しく見ていきましょう。

BECの基本的な手口

BECは通常、サイバー犯罪者が乗っ取った経営幹部や従業員のメールアカウントからのなりすましメールが起点になります。従業員のメールアカウントを乗っ取る手法としては、人の心理的なスキを突くソーシャルエンジニアリングが多用され、たとえば、経営幹部や人事担当者を騙り、その職権を悪用してアカウント情報(ID/パスワード)を聞き出すケースが確認されています。

また、メールアカウントの乗っ取りにはウイルスも用いられます。たとえば、緊急案件などと称したメールを従業員に送りつけ、添付ファイルを開封した従業員のパソコンにウイルスを送り込む手口が確認されています。さらに、問い合わせなど、当初無害なメールのやり取りで従業員を油断させ、頃合いを見計らってウイルスを仕込んだ不正ファイルを送りつけるケースもあります。万一、添付ファイルを開いてウイルスに感染すると、キー入力情報やWebブラウザに保存されたメールのアカウント情報(認証用のID/パスワード)が盗まれてしまうのです。

サイバー犯罪者は、アカウントを盗み出すだけではなく、ビジネスのやりとりの情報なども収集し、より巧妙な業務指示メールを仕立てます。こうしてメールアカウントを乗っ取ったサイバー犯罪者は、会社幹部や取引先の実在する人物などになりすまして従業員にメールを送りつけ、指定の口座へ送金を指示します。実際に、次のようなBECの手口が確認されています。

取引先になりすます

取引先の実在する人物をかたって偽の請求書を添付したメールを従業員に送りつけ、送金先を別の口座に変更するよう指示するケースが確認されています。このタイプのBECは、主に海外と取引している企業を標的にしているのが特徴です。

CEOや経営幹部になりすます

最高経営責任者(CEO:Chief Executive Officer)や経営幹部になりすましたメールで「機密取引」「緊急の送金依頼」などと称し、指定の口座へ送金するよう経理責任者を含む経理部の従業員に指示するケースが確認されています。

弁護士になりすます

サイバー犯罪者は、弁護士、弁護士事務所の代表になりすましたメールや電話で従業員や経営幹部などに連絡をとり、緊急を要する機密案件である旨を伝え、早急な対応を迫ります。このタイプのBECは、終業間際や週末(休日前)などに実行され、早く帰宅したい相手を心理的に圧迫するのが特徴です。

BECにだまされない3つのポイント

メールを注意深くチェックする

送金やメールアカウント情報の提供を依頼するメールが届いたら警戒してください。メールの指示に不用意に従うことなく、電話などの別の手段で相手に連絡し、事実確認することが大切です。その際、メールに記載された連絡先ではなく、いつも使用している電話番号に連絡するようにしましょう。

メールの添付ファイルを安易に開かない

サイバー犯罪者は、たとえば、メールの添付ファイルを議事録や内部資料、請求書などに見せかけ、それらを開封したユーザのパソコンをウイルスに感染させようとします。それらしい内容でも、心当たりのないメールにむやみに反応してはいけません。何らかの違和感を覚えたら社内のセキュリティ担当者に報告し、指示を仰ぎましょう。

OSやソフトのセキュリティ更新プログラムを適用し、セキュリティソフトを最新の状態で利用する

ウイルスの感染を防ぐためには、OSやソフトの脆弱性を解消することが重要です。情報システム部門の指示にしたがって、セキュリティ更新プログラムを速やかに適用しましょう。また、日々新たに生まれる脅威に対抗するためにも、セキュリティソフトを最新の状態で使うことを心がけましょう。

BECの手口や狙いを知れば、サイバー犯罪者が仕掛ける攻撃に気づき、勤務先の金銭被害を防ぐことができます。社会人は、パソコンやネット利用時の不注意が個人だけの責任では済まなくなることがあるため、常にセキュリティ意識を高く持ちましょう。

  • セキュリティーレポート メルマガ会員募集中 is702の最新コンテンツを月2回まとめてお届けします。
  • トレンドマイクロ is702 パートナープログラム
  • トレントマイクロ セキュリティブログ
セキュリティーレポート メルマガ会員募集中 is702の最新コンテンツを月2回まとめてお届けします。
トレンドマイクロ is702 パートナープログラム
トレントマイクロ セキュリティブログ