皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

先日IPA（独立行政法人情報処理推進機構）が行った『偽口座への送金を促す「日本語」のビジネスメール詐欺（BEC）事例』に関するプレス発表は、今後、企業規模や業態を問わず国内のあらゆる企業・組織が標的になる可能性があるとしているものです。

今日はそれに関してお伝えします。

IPAがプレス発表したBECの注意喚起

IPA（独立行政法人情報処理推進機構、理事長：富田 達夫）は、標的型攻撃メールの情報共有の枠組み、J-CSIP（サイバー情報共有イニシアティブ）の参加企業から、2018年7月に日本語によるビジネスメール詐欺（以後、BEC）の情報提供を受けました。国内の企業・組織は、その規模、業態を問わず、標的として捉えられている可能性があると考えられます。
そこで、改めて“ビジネスメール詐欺”について注意喚起を行うと共に、新たな事例と手口を詳細に解説するレポートを公開しました。
※　BEC（Business E-mail Compromise）

今回発表されている事例では、メールの差出人に当該企業の実際のCEOの名前とメールアドレスが用いられ、詐称されてたことと、本文中に『金融庁の取り決めにより』や『弁護士にもカーボンコピーで送信』などの表現を用い、依頼に従わせるための巧妙な内容であったとされています。

情報提供者がこのメールに返信したところ、『国際送金の必要がある』と記載されており、内容はすべて日本語によるものであったようです。

この情報提供を受けIPAは、

BECは手口が悪質・巧妙なだけでなく、金銭被害が多額になる特徴があります。一方、システムやセキュリティソフトによる機械的防御、偽メールの排除が難しく、被害抑止が困難です。よって被害の防止には、決済処理を行う経理部門等がこの手口を認識することが重要です。また、決済のチェック体制の再確認と整備、および以下の対策の徹底が求められます。

としています。

このようなものへの対策として、以下の記載があります。

＜対策＞
１．普段と異なるメールに注意
・不審なメールは社内で相談・連絡し、情報共有する

２．電信送金に関する社内規程の整備（チェック体制の整備）
・急な振込先や決済手段の変更等が発生した場合、取引先へメール以外の方法で確認する

３．ウイルス・不正アクセス対策
・セキュリティソフトを導入し、最新の状態にする
・メールアカウントに推測されにくい複雑なパスワードを設定し、他のサービスとの使い回しをしない
・メールシステムでの多要素認証、アクセス制限の導入を検討する

詳細に関しては、以下のレポート3章に記載の『ビジネスメール詐欺への対策』で確認できます。

ビジネスメール詐欺「BEC」に関する事例と注意喚起（続報）

皆さん、情報共有しながら注意しましょう！

数年前にアメリカで確認されたビジネスメール詐欺は、今や日本でも被害が確認され始めています。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

ここ最近、日本においても『ビジネスメール詐欺』が広がり始め、金融機関などでは送金時に対する注意喚起を行っています。

今日はそんな『ビジネスメール詐欺』に関してお伝えします。

ビジネスメール詐欺は手口が巧妙

ビジネスメール詐欺とは、取引先などを騙った偽のメールを企業の財務担当者に送り、攻撃者の口座に金銭を振り込ませる詐欺のことですが、このビジネスメール詐欺で問題なのは正規のメールのやり取りの途中に割り込まれてしまうことが大きなポイントです。

ターゲットとなる企業の担当者と海外取引先の担当者の間でやり取りされるメールを盗聴し、自然な流れでメールのやり取りに割り込み、取引先担当者になりすまして振込先を変更させたりします。

現に、JALが被害に遭ったビジネスメール詐欺においては、正規の請求書が送られた後に割り込み、請求書の修正版を送ることで振込先を変更させたとされています。

そして、ビジネスメール詐欺にはもう一つポイントがあります。

メールアドレスに使われるドメイン名の詐称です。

取引先企業のドメイン名を1文字だけ変えた、酷似したドメインを使うなどしてメールを送ってくるため、そのまま信用してしまうケースも多くあります。

しかし、こういった被害はある程度防げないものでしょうか？

例えば、メールでのやり取りが盗聴されていることに関しては、双方においてメールの暗号化対応をすれば良いですが、それを行っている民間企業は多くありません。

また、ドメイン名が詐称されていることに関しては、双方が電子署名を付与したり、送信ドメインの認証を双方で行うなど、取れる対策はあります。

上記のような『ビジネスメール詐欺』の被害に遭わないためにも、予め最低限の対策は施し、送金などのが絡むやり取りにおいては一人の担当者に任せることではなく、複数でのチェック体制を取るなど、人的な対応策も行うべきでしょう。