家studyをつづって

IT技術に関することやセキュリティ、ガイドライン等学んだことをつづっていきます。

ビジネスメール詐欺の定義(Business Email Compromise:BEC)

ビジネスメール詐欺「BEC」に関する事例と注意喚起(続報)
発行機関:情報処理推進機構
発行年月日:2018年8月27日

www.ipa.go.jp

 

J-CSIPについて

J-CSIPは、公的機関であるIPAを情報の中継点として、参加組織間でサイバー攻撃に関する情報共有を行い、対策に繋げていく取り組みです。IPAと各参加組織(あるいは参加組織を束ねる業界団体)間で秘密保持契約(NDA)を締結するなどして、参加組織およびそのグループ企業において検知されたサイバー攻撃等の情報をIPAに提供いただき、情報提供元に関する情報や機微情報の匿名化を行った上で、参加組織間での情報共有を行っています。

J-CSIPはIPAが情報の集約点となり、サイバー攻撃等の情報を参加組織間で共有する取り組みです。

 

レポートの概要

IPAは、J-CSIPの情報共有の活動で得られた情報をもとに、ビジネスメール詐欺(BEC)に関する注意喚起を行っています。
このレポートではビジネスメール詐欺を定義し、5つのパターンを紹介したうえで、実際に発生したBECについて解説しています。

 

ビジネスメール詐欺の定義

ビジネスメール詐欺(Business E-mail Compromise:BEC)とは、巧妙な騙しの手口を駆使した、偽の電子メールを組織・企業に送り付け、従業員を騙して送金取引に係る資金を詐取するといった、金銭的な被害をもたらすサイバー攻撃です。詐欺行為の準備として、企業内の従業員などの情報が狙われたり、情報を窃取するウイルスが悪用されることもあります。BEC は、「ビジネスメール詐欺」以外にも、「ビジネス電子メール詐欺」や「外国送金詐欺」などとも呼ばれています(本書ではビジネスメール詐欺と呼びます)。

  

ビジネスメール詐欺の攻撃パターン

タイプ 概要 具体例
タイプ 1 取引先との請求書の偽装

取引のメールの最中に割り込み、

偽の請求書(振込先)を送る

タイプ 2 経営者等へのなりすまし

経営者を騙り、偽の振り込み先に

振り込ませる

タイプ 3 窃取メールアカウントの悪用

メールアカウントを乗っ取り、

取引先に対して詐欺を行う

タイプ 4 社外の権威ある第三者へのなりすまし

社長から指示を受けた弁護士といった人物に

なりすまし、振り込ませる

タイプ 5 詐欺の準備行為と思われる情報の詐取

経営層や人事部になりすまし、

今後の詐欺に利用するため、

社内の従業員の情報を詐取する

 

ビジネスメール詐欺への対策

  • 取引先とのメール以外の方法での確認
  • 社内規程の整備
  • 普段とは異なるメールに注意
  • 不審と感じた場合の組織内外での情報共有
  • ウイルス・不正アクセス対策
  • 電子署名の付与
  • 類似ドメインの調査

 

社内規定による整備に関して、トレンドマイクロの調査においても、割合としては少ないですが不正送金を防げた理由として挙げられています。

f:id:iestudy:20190809160911p:plain

BECの被害を未然に防げた理由

「ビジネスメール詐欺に関する実態調査 2018」を発表 | トレンドマイクロ

 

日本国内で話題になったBECの事例

1.日本で不正な送金を引き出し、逮捕者が出た事例

被害にあった企業:セントクリストファー・ネビス

攻撃の発生日時:2016年9月

www.asahi.com

 

2.JALで発生したBEC

被害にあった企業:日本航空株式会社(JAL)

攻撃の発生日時:2017年8月24日(1回目の振り込み)

www.asahi.com

 

3.D&Gで発生したBEC

被害にあった企業:ドルチェ&ガッバーナ

攻撃の発生日時:2017年11月2日

www.dailyshincho.jp