潜行するサイバー攻撃（第1回）“企業版”オレオレ詐欺が横行

　こうした状況の中、情報処理推進機構（IPA）技術本部セキュリティセンターでは2017年4月、「ビジネスメール詐欺」に関する事例と注意喚起のレポートを公表し、主な手口を5つのタイプに分類した。

●タイプ1：取引先との請求書の偽装
●タイプ2：経営者等へのなりすまし
●タイプ3：窃取メールアカウントの悪用
●タイプ4：社外の権威ある第三者へのなりすまし
●タイプ5：詐欺の準備行為と思われる情報の詐取
（※『ビジネスメール詐欺「BEC」に関する事例と注意喚起』P4から引用）

　いずれのタイプも、自社の社長や取引先、弁護士など、メールを受信した担当者がつい信用してしまう相手になりすますのが特徴だ。攻撃者が従業員のメールアカウントを乗っ取って、取引先に偽の請求書を送る手口もある。

　ビジネスメール詐欺を防ぐには、従来の情報セキュリティー対策を適切に行うことだ。例えばメールの本文や添付ファイルに含まれる不正なプログラムを検知・駆除するウイルス対策や、迷惑メールをブロックするスパム対策、怪しいWebサイトへのアクセスを制限するURLフィルタリングなどの対策は基本といえる。さまざまな情報セキュリティー機能を1台の機器に統合したUTMも活用するとよい。

　加えて、メールアカウントに使用するパスワードは定期的に変更する、類推されやすいものは避ける、生体認証などを組み合わせた二要素認証を採用するといった対策も有効だ。また、特定の組織・個人を狙う標的型攻撃メールの対策と同様に、件名や送信元が不明なメールは開かない、メールの本文に記載されたURLはむやみにクリックしない、メールの取り扱いについて定期的に情報セキュリティー研修を行うなどの取り組みも欠かせないだろう。

　オレオレ詐欺の場合、高齢者に対する銀行窓口での“声掛け”が被害を未然に防ぐケースもある。ビジネスメール詐欺についても、狙われやすい財務や経理担当者の情報セキュリティーに対する意識向上が欠かせない。自分宛ての送金依頼メールであっても、正規なものかどうかいったん疑い、部門内で確認し、場合によっては経営層に報告してから処理するといった自衛策を考えたい。