賢いビジネスメール詐欺にどう対処すべきか、新たな手口とその対策

Check Point Software Technologiesはこのほど、「How companies can get a grip on ‘business email compromise’ - Check Point Blog」において、「企業がビジネスメールの侵害を把握する方法」と題して、近年のフィッシングメールの兆候と対策を紹介した。この内容は世界経済フォーラムにて掲載されたもの。

• How companies can get a grip on ‘business email compromise’ - Check Point Blog

Check Point Software Technologiesは、近年の企業の業務形態がリモートワークとクラウドサービスを活用した形に移行したことにより、従業員のビジネスアカウントの侵害に焦点を当てたサイバー攻撃が増えていると指摘。攻撃手法はさまざまだが、最も多く使われているのは電子メールを悪用したフィッシングキャンペーンだとしている。

フィッシングキャンペーンの中でも特に被害が大きいものとして、ビジネスメール詐欺(BEC: Business Email Compromise)を挙げている。Check Point Researchによると、クレデンシャルハーベスティングは電子メールを使った攻撃全体の15%程度であるが、これにより窃取された情報などを悪用したビジネスメール詐欺の金銭的な被害は最も大きい部類とされる。

ビジネスメール詐欺で典型的な手口を次に示す。

1. 取引先と請求関連のやり取りをメールで行っている従業員に対し、取引先になりすました偽の請求書をメールで送り送金させる
2. 経営者や幹部になりすまし、経理担当者に送金させる

• ビジネスメール詐欺の例 - 提供: Check Point Software Technologies

Check Point Software Technologiesによると、このような手口はセキュリティの向上により有効性が低下したとされる。代わって近年は他の手口が現れており、従業員や関連会社の担当者に正確になりすまし、正規のSaaSやWebサイトから本物の通知を送るという。これによりセキュリティによる検知を回避することができる。送られるメールには偽のサポートチームへ誘導する電話番号が記載されており、説得力のある詐欺電話を行うという。

Check Point Software Technologiesはこのような新しいビジネスメール詐欺に対処するには、高度な技術、従業員教育、厳格な支払いポリシーを組み合わせた多面的な対応が必要だとしている。高度な技術としては、AIを使用し、メールの各種正当性の検査、送信者と受信者の関係性とメールの内容の比較検査などからメールの危険性を検出する方法を提案している。これら対策により詐欺メールを拒否し、正規の請求書や機密情報が正しい担当者に届くようにできるという。