テレワークの今だからこそ気を付けたい「ビジネスメール詐欺」とその手口-IPA
ビジネスメール詐欺が増えていることは何度か紹介しているのでご存じだと思います。しかしながら、通常勤務であれば、オフィスには同僚や先輩後輩もいるので、”何かおかしいな”と感じた時は気軽に相談することももできるでしょう。
しかしながら、大手企業を中心にテレワーク（在宅勤務）が増えつつある現状、この”気軽に相談する”ことが難しくあります。
一方で、新型コロナウイルス感染症（COVID-19）の話題を文章の書き出しとするビジネスメール詐欺（BEC）も複数確認されているようで、偽メールは日々巧妙化していると言えます。
今回はテレワークという状況だからこそ、各自がビジネスメール詐欺の手口を学び、「まさか自分が…」とならないようにIPAからの注意喚起を元に解説します。
偽口座への送金を促す“ビジネスメール詐欺”の手口
巧妙化する日本語の偽メール、継続する攻撃に引き続き警戒を
IPA（独立行政法人情報処理推進機構）は、“ビジネスメール詐欺（BEC）”について以前にも注意喚起を行っていましたが、その後も同様の情報提供が継続しており、さらには日本語での偽メールの巧妙化も進んでいます。これらは、あらゆる国内企業・組織が攻撃対象となりうる状況であり、“ビジネスメール詐欺”について最近の事例を紹介することで、被害を未然に防ぐことにつながればと思います。
“ビジネスメール詐欺”は巧妙に細工したメールのやりとりにより、企業の担当者を騙し、攻撃者の用意した口座へ送金させる詐欺の手口です。 IPAは、2017年4月、情報提供を受けた事例と手口の解説とともに注意喚起を行いました。 また、2018年7月、IPAとしては初めて “日本語のビジネスメール詐欺” の情報提供があり、同年8月に「続報」として再び注意喚起を行っています。
偽口座への送金を促す“ビジネスメール詐欺”の手口
URL：https://www.ipa.go.jp/security/announce/20170403-bec.html偽口座への送金を促す“ビジネスメール詐欺”の手口（続報）
URL：https://www.ipa.go.jp/security/announce/201808-bec.html
その後も、日本国内の企業・組織から、ビジネスメール詐欺の被害に関する相談・情報提供が継続しています。
IPAは、これまでビジネスメール詐欺に関する114件の情報提供を受けており、うち17件で金銭的被害が確認されています。その多くは日本企業の海外支社等が標的となっている傾向がありますが、日本語の偽メールで国内企業が直接狙われる事例も確認しています。
図1は2020年3月に発生した、ある国内企業（親会社）のCEOを詐称し、その複数のグループ会社のCEOを標的として試みられたビジネスメール詐欺です。日本語に不自然な点が少ないだけでなく、受信したうちの1社がこのメールに返信したところ、攻撃者から、続けて日本語で返信が送られてきています。
IPAでは、同内容のメールを合計8件（日本語2件、英語6件）入手しており、これは元々は英語で行われていた攻撃が「日本語化」したものであるととらえています。すなわち、日本国内の企業・組織が本格的に標的となりつつある兆候に見受けられます。また、これら一連のメールの一部において、受信者がメールを開封したことを送信者が追跡できる仕掛け（ウェブビーコン）がメールに埋め込まれていたことも確認しています。
図1 日本語のビジネスメール詐欺のメール（2020年3月）
このほか、新型コロナウイルス感染症（COVID-19）の話題を文章の書き出しとする英文のビジネスメール詐欺も、2020年3月と4月に複数確認しています（図2）。メールの内容は、これまでIPAで多く確認してきた事例同様、何らか機密性の高い財務処理が必要である等と称するものでした。返信をした場合、何らかの口実とともに、攻撃者の口座への送金依頼に話が進むものと思われます。
図2 新型コロナウイルス感染症（COVID-19）に言及するビジネスメール詐欺のメール（2020年3月）
参考までに、米国インターネット犯罪苦情センター（Internet Crime Complaint Center：IC3）が2020年4月1日に公開した注意喚起と、米国連邦捜査局（Federal Bureau of Investigation：FBI）が2020年4月6日に公開したプレスリリースでは、新型コロナウイルス感染症が拡大している状況を悪用するビジネスメール詐欺として、次の事例とともに注意が呼びかけられています。
現在、あらゆる企業・組織が困難な状況にあり、予定外の対応も多く発生している状況ではありますが、この状況を悪用するような口実に騙されないよう、注意が必要です。
ビジネスメール詐欺は、手口が悪質・巧妙なだけでなく、金銭被害が多額になる傾向があります。改めて、企業・組織が相対している敵は「偽メール」ではなく、そのメールを送り付けている攻撃者（人間）であり、その攻撃者は手口をアップデートしながら、複数の組織へ向け執拗に攻撃を繰り返しているという認識が重要です。一見、メールが偽物であると見破ることが容易に思えたとしても、攻撃者を侮るべきではありません。IPAには、2015年から約5年間に渡り、ビジネスメール詐欺の情報が寄せられています。メール文面の日本語化等、あらゆる国内企業・組織、またその取引先において、引き続き注意を要する状況であると考えられ、最近の事例を紹介するレポートを公開するとともに、改めて注意を呼びかけます。
本内容は、IPA様のプレスリリースを元に作成しております。
ソース：https://www.ipa.go.jp/security/announce/2020-bec.html
