ビジネスメール詐欺(BEC)

ビジネスメール詐欺(BEC)の仕組み

この特定の攻撃は、多数のユーザーをだますように設計された非常に一般的な口実を使用するのではなく、個人または小さなグループを直接標的にします。

BEC攻撃は、社内で権力を持つ人物や信頼できる外部パートナーに見せかける能力に依存しています。 攻撃者は、次のようないくつかの異なる方法でこれを実行できます。

• ドメインスプーフィング: メールアドレスの検証は、デフォルトではメールプロトコル(SMTP)に組み込まれていません。 つまり、攻撃者はメールの表示名と送信者アドレスを偽造して、社内または信頼できるベンダーから送信されたように見せかけることができます。 SMTPを使用すると、送信者は返信を送信する別のアドレスを定義して、応答を確実に受信できます。
• 類似ドメイン: 類似ドメインは、混同されやすい文字を利用するように設計されています。 たとえば、ドメイン company.com と cornpany.com は、注意を払っていない人をだますことができるほどよく似ています。
• 侵害されたアカウント: 攻撃者が正規のアカウントにアクセスできる場合、そのアカウントをBEC攻撃に利用することができます。 これにより、メールが実際に信頼できるアドレスから送信されるため、信頼性のレベルが高まります。

BEC攻撃は、一見正当なメールアドレスを利用して、受信者を騙して特定の行動を起こさせます。 BEC攻撃の最も一般的な目的は、ターゲットが正規の許可されたビジネストランザクションを実行していると信じ込ませながら、攻撃者に送金させることです。

ビジネスメール詐欺(BEC)攻撃の種類

FBIによると、BEC攻撃には主に5つのタイプがあります。

• 虚偽の請求書 不正、詐欺、不正行為: この攻撃では、フィッシャーはベンダーのふりをして、会社のために実行されたサービスの支払いを要求します。 多くの場合、この種の攻撃は、組織の実際のサプライヤーの 1 つになりすまし、現実的なテンプレートを使用しますが、銀行口座情報を攻撃者が管理する口座に変更します。
• CEOの不正: CEOの不正は、企業内の力関係を利用します。 攻撃者は、おそらくCEOからのメールを送信し、受信者に何らかのアクションを実行するように指示します。 これは、「ビジネス取引を成立させる」ために電信送金を行ったり、機密情報をパートナーに送信したりすることです。
• アカウントの侵害: アカウント侵害BEC攻撃は、組織内の侵害された電子メールアカウントを利用します。 このアクセス権により、攻撃者は顧客から請求書の支払いを要求し、支払いの詳細を攻撃者のものに変えることができます。
• 弁護士のなりすまし: このタイプの攻撃は、組織内の低レベルの従業員が、要求を検証する方法を知らないため、弁護士や法定代理人からの要求に応じる可能性が高いという事実を利用します。 このアプローチでは、多くの場合、要求が時間的制約があり、機密であるように見え、独立した検証が妨げられます。
• データの盗難: BEC攻撃は、企業から金銭を盗むためだけに設計されているわけではありません。 このタイプの攻撃は、人事および財務担当者を標的とし、組織の従業員に関する機密情報を盗もうとします。 この情報は、ダークウェブで販売されたり、将来の攻撃の計画や実行に使用されたりする可能性があります。

BEC攻撃から身を守る方法

BEC攻撃が成功すると、非常にコストがかかり、組織に損害を与える可能性があります。 しかし、これらの攻撃は、以下のような簡単な メールセキュリティ 対策を講じることで打ち負かすことができます。

• アンチフィッシング プロテクション: BECメールはフィッシングの一種であるため、フィッシング対策にはアンチフィッシングソリューションの導入が不可欠です。 アンチフィッシングソリューションは、BECメールの危険信号(送信者アドレスと一致しない返信先アドレスなど)を特定し、機械学習を使用してメールの言語を分析し、攻撃の兆候がないか確認できる必要があります。
• 従業員教育: BEC攻撃は組織の従業員を標的とするため、 サイバーセキュリティにはメールセキュリティ意識向上 トレーニングが不可欠です。 BEC攻撃の特定方法と対応方法について従業員をトレーニングすることは、この形態のフィッシングの脅威を最小限に抑えるために不可欠です。
• 職務の分離: BEC攻撃は、従業員を騙して、リクエストを確認せずにリスクの高い行動(送金や機密情報など)を取らせようとします。 2 人目の従業員による独立した検証を必要とするこれらのアクションのポリシーを実装すると、攻撃が成功する確率を減らすのに役立ちます。
• 外部メールのラベル付け: BEC攻撃は一般的に、ドメインスプーフィングや類似ドメインを使用して内部メールアドレスになりすまそうとします。 社外からのメールに外部ラベルを付けるようにメールプログラムを設定することで、この戦術を打ち負かすことができます。

チェック・ポイント Harmony Email & Office は、BEC攻撃に対する保護と データ漏洩防止を提供します。 Harmony Email & Officeの動作を確認するには、 無料のデモをスケジュールしてください。