増加するBusiness Email Compromise

ビジネスメールに乗じた詐欺行為が増加している。「CEO詐欺」として知られるビジネスメール上でのセキュリティ侵害である。ビジネスメールなどを利用したセキュリティ侵害は、総称してBEC（Business Email Compromise）攻撃と呼ばれている。IBMの2022年情報漏洩費用レポートによれば、BECはフィッシング攻撃と並んで1件当たりの漏洩費用が最も高額なものになっている。こうした攻撃が増加しているのは、SMS、メッセージングアプリ、ソーシャルメディア、スラックなどのコラボレーション・プラットフォームといった通信手段の多様化が進んでいて、ハッカーがこれらをディープフェイクなどと組み合わせて、より巧妙に攻撃を仕掛けるようになってきているからである。

多様なバリエーションを想定した対策

こうしたハイブリッド攻撃に向けて準備するためには、次のような新しい手口での傾向を押さえておくことが必要となる。

第1は、攻撃にはたくさんのバリエーションがあることである。従来はアカウントの奪取と役員へのなりすましが代表的な攻撃であるとされていたが、IT担当者、サードパーティの請負業者、顧客のアカウントを利用することもありえ、仕事用のアカウントではなく、プライベートなアカウントを狙うかもしれない。電子送金だけでなくギフトカードへの支払いを仕掛けるかもしれない。金銭ではなく、知的所有権や個人情報を盗もうとするかもしれない。多様な詐欺に注意しなければならないことになる。

 

コミュニケーション・ツール全般の対策

第2は電子メールでの脅威だけではなく、コミュニケーション・ツール全般への攻撃であることである。SMS、メッセージングアプリ、テレビ会議、スラックなどのコラボレーション・プラットフォームもターゲットとなる。これらのツールではセキュリティが十分ではないこともあり、そこに攻撃の手が伸びうるからである。

テキストメッセージが盲点

第3はモバイルメッセージへの攻撃も増加していることである。典型的なものはIT部門になりすまして、ITサービスの更新あるいは認証を確認する必要があると通知し、パスワードなどの情報を盗むものである。モバイル通信では、検証されることなしに個人の電話にテキストメッセージを送ることが可能であるからである。

ビジネス特化型SNSに注意

第4はビジネス特化型SNSリンクトインでのフィッシングも増加していることである。リンクトインでは企業での防衛を気にすることなく、役員などに直接アプローチすることも可能で、説得力のある求人情報などを装ってビジネス・コネクション・ネットワークに入り込むこともできる。

フェイクツールによるバーチャルなりすまし

最後はバーチャルななりすまし詐欺も可能であることである。まだ初期段階であるが、ディープフェイク・ツールなどを活用して音声や顔を作り込んで役員などになりすまし、攻撃を仕掛けることも可能となる。すでに、経営幹部の擬声を使って金銭の送金に成功したハッカーも現れている。

ハイブリッド攻撃は信頼されている取引関係者・通信経路を利用するものであることから、完全に防止することは難しいともいえる。また、デジタル通信・機器の活用での仕事と私生活との区別がますますあいまいになりつつある現状では、その困難さは高まっている。

とはいえ、予防措置を講じることは必須条件である。電子メールと同様、メッセージアプリやコラボレーション・プラットフォームなどの新たなコミュニケーション・ツールに関して、従業員がそれらをどのように使うべきかという厳格な基本方針を定めて、その運用を徹底することである。何ができて、何をすべきでないのか、どのような情報は共有でき、誰とは通信できるのかなど、利用でのルールを明確にすることである。

ハッカーがアカウントを奪取することは、ハイブリッド攻撃でも共通している。役員・従業員がメールアカウントを厳重に管理することを徹底させるとともに、ハッカーのアカウント盗難の方法に関する情報を共有することも欠かせない。さらには、従来からサイバーセキュリティ対策として推奨されてきた多様な対策を、多重に、そして常に更新して活用することが基本となる。

 

参考：RIMSホームページ, 日本語訳はRIMS日本支部サイト