「ビジネスメール詐欺」とは、不特定多数を狙ったスパムメールやフィッシングメールとは異なり、ある特定の組織や個人へ、経営層や取引先などになりすまし偽メールを送って入金や口座変更等をさせる金銭的被害をもたらすサイバー攻撃です。

メールの内容は、ターゲットとなる組織に関係する情報をもとに受信者が騙されやすい巧妙な内容になっていることもあります。

「ビジネスメール詐欺」は、IPA（独立行政法人 情報処理推進機構）が選出した「情報セキュリティ10大脅威 2022」において8位となっており、1位の「ランサムウェア」や2位の「標的型攻撃」と同様に注意が必要な脅威と言えるでしょう。

「ビジネスメール詐欺」は経営層や取引先などになりすましメールのやりとりを通して金銭的被害をもたらします。以前までよく見られた「スパムメール」や「フィッシングメール」であれば、差出人が怪しい、本文が不自然な日本語や他の言語（英語や中国語など）であることから簡単に見抜くことが出来ました。しかし、ビジネスメール詐欺では、業務メールに酷似した差出人やメールの件名、本文、署名などに加え、やりとりの中で付加されたCc等や引用部分の改ざんなど様々な手口を駆使しており、簡単に見分けることができません。

具体的なビジネスメール詐欺の例をご紹介しましょう。攻撃者がターゲットとなる会社の社員と取引先のメールのやりとりを盗聴します、取引先の人物になりすましターゲットに対して偽の口座番号に振り込むように伝えます。すると、受信した社員がそのメールを疑うことなく、攻撃者の口座に振り込んでしまい金銭が詐取されてしまいます。また、取引先からターゲットにメールが送信されないように、ターゲットの社員になりすまし取引先ともやりとりを続け、詐欺の発覚を遅らせているのです。

標的型攻撃メールと攻撃手口が似ていますが、目的が異なります。標的型攻撃メールの場合、組織の機密情報や知的財産に関する情報など、何らかの情報を盗み取ることが目的です。一方、ビジネスメール詐欺の場合、金銭的な被害に集中しています。

実際の事例としても、取引先や経営層に成りすましたメールに騙され高額の被害にあっています。2017年に日本で高額な被害がでたことから注目されはじめており、2018年にはメール内容が日本語のビジネスメール被害が初めて報告されるなど、今後も増えていくと予想されています。