ビジネスメール詐欺とは、企業や組織に偽のビジネスメールを送りつけ、金銭をだまし取ることを目的とした詐欺行為のことです。 IPAの 情報セキュリティ10大脅威（組織編）2024 でビジネスメール詐欺による金銭被害が 8 位（7年連続7 回目の選出）に入るなど、その被害は近年も多くみられます。

そこで今回のブログでは最近の事例や、対策方法についてご紹介します。Selphishではビジネスメール詐欺に関する記事をいくつか掲載していますので、よろしければあわせてお読みください。

・ビジネスメール詐欺とは
・多発するビジネスメール詐欺と、AI時代の新たな脅威「ディープフェイク」

1ビジネスメール詐欺の事例紹介

ビジネスメール詐欺の事例については、IPAのサイトに詳しく紹介されています。直近では2024年5月に事例7があらたに追加されていますので内容を少し紹介します。

事例7は、国内企業（A 社）と海外取引先企業（B 社）間の取引において、B 社担当者になりすました攻撃者が、A社担当者に偽のメールを送りつけて金銭を詐取したというものです。なりすましの手口として、攻撃者はB社から盗んだ正規メールアカウントから偽メールを送付していました。攻撃者は2度にわたってA社担当者へ口座変更の依頼メールを送っています。2度目の変更依頼は支払日の数日前に送信しています。これはA社担当者に対応を急がせることで、確認する時間を十分に与えない意図があったのではと推測されています。

このようにビジネスメール詐欺では、金銭を搾取するための巧妙な手口が色々と試されています。過去の事例や手口を知っておくことで、「もしかしたら怪しいメールなのでは？」、と詐欺メールに気づくことができるかもしれません。過去事例の詳細について、ぜひIPAの事例集などをご覧ください。

　IPA（ビジネスメール詐欺の事例集を見る）
　https://www.ipa.go.jp/security/bec/bec_cases.html

2ビジネスメール詐欺にあってしまったら

もしも被害にあってしまった場合には、どのような対応が必要でしょうか。
対応策の一例を紹介します。

■送金のキャンセル手続をこころみる

もしも攻撃者が指定してきた口座に送金を行ってしまった場合、送金に利用した銀行へ、早期に送金のキャンセルや組み戻しの手続きを依頼しましょう。

送金した資金が攻撃者に引き出される前に手続きができて、一部資金回収が間に合ったというような事例も過去に報告されています。

　IPA（ビジネスメール詐欺（BEC）の詳細事例１ ）
　https://www.ipa.go.jp/security/bec/hjuojm0000003c8r-att/000102394.pdf

■暫定措置を行う

2次被害をさけるために、暫定措置を行いましょう。

・関係者（状況によっては取引先を含める）のパソコンに対するウイルスチェックを実施し、ウイルス感染の有無をチェックする
・関係者（状況によっては取引先を含める）のメールアカウントのパスワードを変更し、さらなる被害が起きないように対策する

暫定措置とあわせて、原因調査も進めましょう。原因調査の方法は以下のようなものがあります。

・メールアカウントに対する不正アクセスの有無を確認する
・社員へのヒアリングを実施し通常と異なるメールを受信していないかなどヒアリングを実施する
・取引先とのメールのやりとりが攻撃者に盗み見られている可能性もあるため、場合によっては取引先も含めヒアリングや調査を行う

■時系列で状況をまとめ、原因を調査する

被害の全体像を把握し、関係者や警察への報告を行いましょう。第三者への報告にあたって、攻撃者から送られてきたメール等、時系列でいつなにが起きたのかの整理とログを残すようにしておくことが重要です。

このような対応策がありますが、いかに速やかに対応するかも重要です。万が一の際速やかに対応できるよう、社内でインシデント時の対応フローをまとめておく、規定を整備しておく、といったことも対策の一つとなります。事前の対策に関しては、次章で紹介します。

被害にあった場合の対応策については下記のサイトに詳しく紹介されていますので、参考にしてみてはいかがでしょうか。

　IPA「もし詐欺被害に遭ってしまったら」

　https://www.ipa.go.jp/security/bec/bec_tokusetsu_3.html

　警察庁「ビジネスメール詐欺に注意」
　https://www.npa.go.jp/bureau/cyber/countermeasures/bec.html

3ビジネスメール詐欺の対策にはどういう方法がある？

次に日ごろから実施できる対策には、どのようなものがあるでしょうか。事前対策についても紹介します。

■ウイルス・不正アクセス対策 

ビジネスメール詐欺は、メールの内容などを搾取するウイルス感染やメールサーバへの不正アクセスが原因であるケースが多いため、以下のような基本的なウイルス対策が不可欠です。

　・セキュリティソフトを導入し、最新の状態を維持する
　・OS やアプリケーションの修正プログラムを適用し、最新の状態を維持する

■送金時にメール以外の方法で確認する運用にする

送金に関するメールを受信した際には、依頼元とのやりとりを電話でも行うなど、メール以外の別の手段でも確認することが対策となります。なお、メールに記載されている電話番号の場合は偽装されている場合があるため、名刺などで確認を行うようにしてください。

特に振込先の変更や急な送金依頼など、通常とは異なる内容である場合には注意が必要です。ビジネスメール詐欺の可能性を疑い、慎重に確認いただければと思います。 

こうした運用フローについては、あらかじめ社内でポリシーを定め周知しておくことが必要です。

■怪しいメールを受信した際の社内共有の徹底

社員一人一人が怪しいメールを開かない意識を持つことと、もし開いてしまった場合には社内の報告先へきちんと報告できる体制作りが重要です。

定期的なメール訓練の実施により社員の意識向上を図っておくことが対策となります。

4まとめ

今回の記事では、ビジネスメール詐欺の事例や対策、被害にあってしまった場合の対応についてご紹介させていただきました。是非参考にしていただき、社内のポリシー策定などもご検討いただければと思います。

なお、ビジネスメール詐欺は、ウイルス感染などが原因となりメールが盗み見られているケースが多いです。そしてそのウイルスの感染経路としては、メールに添付されたファイルの開封や不正なリンククリックによるものがあります。

従業員一人一人が不審なメールを開かないこと、開いてしまった場合にはすみやかにしかるべき報告部署へ報告をあげることが重要です。このような意識づけには定期的なメール訓練の実施が有効です。

神戸デジタル・ラボが提供するメール訓練システム、Selphish（セルフィッシュ）は初めてメール訓練を導入される企業様にも操作いただきやすい管理画面となっています。有償版のすべての機能が無料で使えるデモ環境もご用意しています。3営業日ほどで準備できますので、ご興味ございましたらお問合せフォームより【デモ環境希望】と記載してお申し込みください。