30秒で分かる結論
「ビジネスメール詐欺」（BEC、Business Email Compromiseの略）は、取引先や自社の経営者になりすました偽の電子メールを使い、従業員をだまして攻撃者が用意した口座へ送金させる詐欺の手口です。IPA（情報処理推進機構）はBEC対策の特設ページを設け、代表的な手口・事例・対策をまとめています。
送信元のメールアドレスをよく確認すること、そして金銭や振込先口座に関わる依頼は、メール以外の方法でも本人に確認することが、基本的な防御になります。
まず初めに
結論から言う。BECにウイルスは要らない。攻撃者が本当に狙っているのは、システムの穴ではなく、人間の「上司や取引先からの急ぎの連絡には従う」という習性そのものだ。どれだけ立派なセキュリティソフトを入れても、電話1本の確認を惜しんだ瞬間に、そこが最後の防御線として崩れる。
BECにはどのような手口があるか
IPAによると、BECは大きく分けて2つのパターンに分類できます。
1つ目は「取引先との請求書の偽装」です。攻撃者は事前に何らかの方法でメールのやり取りを盗み見ており、実際の支払いのタイミングを見計らって、支払う側へ偽の振込先口座情報を送りつけます。取引先の担当者を装ったり、取引先のメールアカウント自体を乗っ取ったりして送られてくるため、普段のやり取りの延長のように見えてしまう点が特徴です。
2つ目は「経営者や役員へのなりすまし」です。攻撃者が事前に調べた企業の経営者や役員などのメールアドレスを装い(または似せたアドレスを使い)、グループ企業の担当者などに宛てて、急ぎの支払いを指示するというものです。IPAが公開している事例集には、国内企業の社長になりすまし、グループ企業の役員に金銭の支払いを求めた事例や、取引先のメールアカウントが乗っ取られ、正規のアドレスから送金先口座の変更を求める偽メールが送られて金銭をだまし取られた事例が紹介されています。
気づくためのポイント
IPAが挙げる特徴として、次のような点があります。
- 送信元のメールアドレスが、本物とわずかに異なっている
- 表示されている送信者名と、実際のメールアドレスが一致していない
- ふだんと違う振込先口座への変更を求めている
- 実際の支払いのタイミングに合わせたように届く
- 「至急」「今日中に」など、判断を急がせる文面になっている
一方で、取引先や社内の担当者のメールアカウント自体が乗っ取られている場合、送信元は本物の正規アドレスになるため、アドレスの見た目だけでは気づけないこともあります。少しでも普段と違う点（口座変更、急な支払い指示など）があれば、送信元アドレスの見た目だけで安心せず、次の対応を取ることが重要です。
なぜ「上司からの急ぎの依頼」は疑いにくいのか
BECが厄介なのは、狙われる対象が組織の中で人間関係や指揮系統が明確な場面であるという点です。経営者や上司からの依頼であれば、部下の立場としては疑うより先に対応しようとする心理が働きます。攻撃者はこの構造を熟知しており、あえて権威を装うことで、受け取った側が確認の手間を省いてしまうように仕向けています。「相手が誰か」ではなく「依頼の中身が普段と違うかどうか」で判断する習慣を持つことが、この心理的な誘導への対抗策になります。
実際に届いたときの対応
IPAは、組織としての対策に加え、次のような対応を挙げています。
- 振込先の変更や新規の振込指示は、メール以外の手段（電話など、あらかじめ分かっている連絡先）で本人に確認する
- 不審なメールに気づいたら、社内外の関係者へ速やかに共有する
- ウイルス対策・不正アクセス対策を徹底し、メールアカウント自体が乗っ取られないようにする
- 電信送金に関する社内規程やチェック体制を整備する
- 可能な場合は電子署名を活用する
担当者個人としては、金銭や口座情報に関わる依頼がメールで届いた場合、メールに返信する形ではなく、これまで使ってきた電話番号など、メール本文に書かれていない方法で相手に事実を確認することが有効です。
初心者が知っておくべきこと
BECは、ウイルスなどの特別なソフトウェアを使わなくても成立する点が特徴です。攻撃者は、フィッシングなどの方法でメールアカウントを乗っ取ったり、やり取りを盗み見たりしたうえで、人の判断のすきを突いて送金させようとします。技術的な対策だけでなく、「金銭に関わる依頼は必ず別の方法で確認する」という基本的な習慣が、最後の防御線になります。
よくある質問
Q. 個人向けのフィッシング詐欺と何が違うのですか？
A. 個人向けのフィッシングは、主に一般利用者のID・パスワードやクレジットカード情報を狙うのに対し、BECは主に企業の担当者を狙い、送金や振込先口座の変更を目的とする点が異なります。ただし、BECのきっかけとして、フィッシングによって従業員のメールアカウントが乗っ取られるケースもあり、両者は無関係ではありません。
Q. どんな会社が狙われるのですか？
A. IPAが公開している事例集では、国内企業の経営者や役員になりすました事例、取引先のメールアカウントが乗っ取られた事例などが紹介されており、企業の規模を問わず対象になり得ることが分かります。
IT Postの見方
IT Postでは、BECが技術的な欠陥ではなく人の判断を狙う手口である以上、システム面の対策だけでなく、金銭や口座情報に関わる依頼は必ずメール以外の手段で確認するという基本の徹底が、企業の規模を問わず被害を左右すると考えます。特に、取引先のメールアカウントが乗っ取られて本物の正規アドレスから偽メールが送られてくるケースは、送信元の見た目だけでは判断できないため、依頼内容そのものへの警戒がより重要になると考えます。電話1本のひと手間を惜しんだ代償は、たいてい振込金額そのものより大きくつきます。
今後どうなりそうか
IPAはビジネスメール詐欺対策特設ページで事例集やFAQを継続的に公開しています。手口は今後も変化していくとみられるため、心当たりのない振込先変更や急な支払い指示を受け取った際は、その都度、電話などの別手段で確認する習慣を、組織の規模を問わず維持していくことが引き続き大切です。
