この記事をtweetする このエントリーをはてなブックマークに追加

アナタの知識が会社を救う! セキュリティ強化塾

ビジネス詐欺メール(BEC)の手口

2018/01/23


 2017年12月、注目すべきセキュリティ事故があった。日本航空(JAL)における「ビジネスメール詐欺」の発生だ。報道によれば被害総額は約3億8000万円。これほどの損害が数通のメールで発生したのだ。今回は、ビジネスメール詐欺の手口を学び、その背景にある「脆弱(ぜいじゃく)性」対策としたい。

ビジネスメール詐欺

「メール1通で3億6000万円が奪われる」という衝撃

 2017年9月、JALは取引先からの請求に従い、旅客機リース料3カ月分に相当する325万ドル(約3億6000万円)を支払った。これは普段から行っている業務と同じものだったが、今回に限っては1つだけ違う点があった。  

 入金の直前、「訂正版の請求書」が届いたのだ。それに従い、新たに指示された銀行口座に振り込みを行ったところ、しばらくして正規の取引先から振り込みがないことを指摘される。ここにきてJALは詐欺にあったことに気付いた。さらに調べてみると、以前にも貨物事業所における地上業務委託料の請求で同様の詐欺があったことが分かり、被害総額は約3億8000万円にも達した。  

 この事件は国内でも大きく取り上げられた。だが、「あの大企業でさえ『振り込め詐欺』に遭ったのか」と捉えるのでは事件を矮小(わいしょう)化してしまう可能性が高い。振り込め詐欺といえば、手当たり次第に電話をかけ「オレだよ、オレ」と口八丁手八丁でだますイメージがある。  

 しかし、JALがやられた詐欺は「ビジネスメール詐欺(Business Email Compromise:BEC)」と呼ばれる企業をターゲットにしたサイバー攻撃だ。企業の特定部署をターゲットにし、「標的型攻撃」のノウハウも組み合わせて仕掛けられるBECは、振り込め詐欺対策の知識だけでは多くの人がだまされてしまうレベルにある。  

 BECは、既に海外では大きな問題として取り上げられている。トレンドマイクロの調査によると、2016年には既に世界各所でビジネスメール詐欺が発生している。被害規模には数十億円レベルのものが含まれ、とても無視できるものではない。

図1 2016年に発生したビジネスメール詐欺
図1 2016年に発生したビジネスメール詐欺
※1:http://www.bbc.com/news/business-35250678
※2:http://www.crelan.be/sites/default/files/COMM/presse/pb_01-2016_nl.pdf
※3:http://www.facc.com/en/News/News-Press/EANS-Adhoc-FACC-AG-FACC-AG-Victim-of-cybercriminal-activities
※4:http://krebsonsecurity.com/wp-content/uploads/2016/01/Ameriforge-DE1-Plaintiff.Original-Petition.pdf
※5:https://oag.ca.gov/ecrime/databreach/reports/sb24-60402
※6:https://d3gx8i893xzz0e.cloudfront.net/fileadmin/corporate/press/releases/2016/2016-09-14_proof_of_publication.pdf?1473855508
出典:トレンドマイクロ

 JALのような大企業でなくとも、BECは全ての企業がターゲットとなり得る。そして、金額の大きさによっては、最悪の場合、倒産に追い込まれる可能性も高い。2018年最初のセキュリティ強化塾は、ビジネスメール詐欺の手口を学び、対策を考えてみたい。


1

ビジネスメール詐欺のファーストステップ:偵察

 BECは、その名の通りメールが起点となる。では、普段から目にする「迷惑メール」との違いはどこにあるだろうか。まず、ビジネスメール詐欺で利用されたメールの例を見てみよう。

図2 ビジネスメール詐欺の例
図2 ビジネスメール詐欺の例
出典:トレンドマイクロ

セキュリティ情報局にご登録頂いた方限定で「ビジネス詐欺メール(BEC)の手口」の続きがご覧いただけます。

「セキュリティ情報局」とは、週1回のメールとサイト上で、セキュリティの基礎知識や最新情報などの記事をご希望の方にのみご提供する登録制のサービスです。「セキュリティ登龍門50」では、実際に起こったセキュリティに関する被害例やその対策、統計データなどを紹介します。また「セキュリティWatchers」では、最新事情や海外の状況などを専門家がレポートします。


関連キーワード

ビジネスメール詐欺/ビジネス詐欺メール(BEC)の手口」関連の情報を、チョイスしてお届けします

※キーマンズネット内の「ビジネスメール詐欺」関連情報をランダムに表示しています。

ビジネスメール詐欺」関連の製品

金融業界のセキュリティ動向調査:犯罪被害からGDPR対応まで重要課題を一挙解説 【トレンドマイクロ】 半数がセキュリティ上の重大被害を経験、運輸・交通・インフラ業界の課題とは? 【トレンドマイクロ】 転換期を迎えたサイバー犯罪――国内で拡大し始めた攻撃手法とは? 【トレンドマイクロ】
検疫 検疫 検疫
金融業界のセキュリティ動向調査:犯罪被害からGDPR対応まで重要課題を一挙解説 半数がセキュリティ上の重大被害を経験、運輸・交通・インフラ業界の課題とは? 転換期を迎えたサイバー犯罪――国内で拡大し始めた攻撃手法とは?

ビジネスメール詐欺」関連の特集


「情報セキュリティ10大脅威」の2018年版順位が先行発表された。ランク外から登場した3つの脅威につ…



2017年に日本を襲ったサイバー攻撃についてトレンドマイクロが振り返りを実施。「3つのセキュリティ上…



トレンドマイクロが「2017年セキュリティ脅威予測」を発表しました。国内外で発生する可能性がある脅威…


「エンドポイントセキュリティ」関連 製品レポート一覧

このページの先頭へ

Myリストへ

この記事をtweetする このエントリーをはてなブックマークに追加


この記事に掲載している情報は、掲載日時点のものです。変更となる場合がございますのでご了承下さい。


ページ: 1 | 2 | 3


30010066


IT・IT製品TOP > エンドポイントセキュリティ > メールセキュリティ > メールセキュリティのIT特集 > 特集詳細

このページの先頭へ

キーマンズネットとは

ページトップへ