ビジネスメール詐欺（BEC）の手口とは？効果的な対策・対処法

ビジネスメール詐欺が蔓延している背景

現代では働き方の変革により、「Chatwork」や「Zoom」といったメール以外のコミュニケーションツールが普及しています。しかし、多くの企業でメールを用いたコミュニケーションが続いていることが、一般社団法人日本ビジネスメール協会による「ビジネスメール実態調査2023」で明らかになりました。

この調査では、仕事上のコミュニケーション手段においてメールの使用率は98.35％、1日平均で送信数が15.24通、受信数が49.97通という結果が出ました。この結果から、メール以外のコミュニケーションツールが普及した現代でも、多くの企業がメールでのコミュニケーションを継続していることがわかります。

このような背景から、メールというシステムは詐欺師たちにとって格好の標的になっているのです。

【関連記事】サイバー攻撃とは？手口の種類や事例、最近の動向と対策を詳しく紹介

取引先に偽装する手口

一般的な手口の1つに、取引先に偽装する方法があります。詐欺師は偽の取引先を装い、実際の取引条件と異なる指示を出して混乱を招きます。

「従来の口座が凍結された」など嘘の理由を説明し、メールで振込先口座の変更を指定するケースもあります。特に取引先のメールアドレスを模倣した詐欺行為は、簡単には見破ることができません。

実在する経営者層になりすます手口

経営者や上層部になりすまし、金銭を騙し取る手口もあります。経営者層を装うことで従業員の警戒心を緩め、急ぎの金銭移動を要求する点が特徴です。

「極秘の案件で急遽資金が必要になった」「緊急なので早めに送金してほしい」などと緊急性を煽り、攻撃者は従業員の正常な判断を奪います。

盗んだ第三者のメールアドレスを悪用する手口

サイバー攻撃により入手した第三者のメールアドレスを利用する手口も見られます。ハッキングなどの手段で正規のメールアドレスを入手し、そのアドレスから詐欺的な指示を出すのが特徴です。

具体的には「振込先口座が変更になりました」などのメールを送り、金銭を騙し取ろうとします。この手口は、正規のメールアドレスからの指示として信頼性を高める性質上、企業の従業員が警戒を緩めてしまうことに繋がります。

【関連記事】詐欺メール（なりすましメール）に効果的な対策・対処法を徹底解説

人材育成サービスが詐欺師に約530万円の送金

2022年11月、人材育成サービスを提供するウィルソン・ラーニングワールドワイドが、ビジネスメール詐欺の被害に遭ったと公表しました。子会社2社宛に支払いを要求する詐欺メールが同年9月に届き、メールの指示に基づき約530万円を送金しました。送金後にその指示が虚偽である可能性に気付き、専門機関などに事実関係の確認や相談を行っています。

格安航空大手に約240万円の詐欺未遂

格安航空大手のスカイマーク株式会社に、実在する取引先を装った詐欺メールが2016年6月と2017年10月の2回にわたって送られました。具体的には「振込先を変更した」というメール内容で、1回目は40万円を請求されて実際に従業員が振込を行っています。

しかし、すでに口座が凍結されており送金が完了しなかったため、詐欺行為による金銭的損害は被りませんでした。これを不審に思って取引先に確認してみたところ、詐欺という事実が発覚。

2回目の詐欺メールでは別の取引先を名乗っていましたが、1回目の詐欺メールで社内に注意喚起がされていたため、取引先にその旨を確認し、詐欺による被害を未然に防いでいます。

トヨタ紡織株式会社の子会社で最大40億円の詐欺被害

2019年9月、トヨタ紡織株式会社の子会社でヨーロッパ地域を統括するトヨタ紡織ヨーロッパが、最大40億円の詐欺被害が発生したことを公表しました。正規の取引先を装ったメールに応じて送金した後、それが虚偽の指示であることに気付いたとのことです。

メールの内容は「至急、取引を行わないと、トヨタ自動車の製造に遅れが生じる恐れがある」という緊急性を煽るものでした。同社は弁護士らによる対策チームを立ち上げ、現地の捜査機関に被害を申告しています。

送金のキャンセル・組み戻し手続き

送金後に詐欺だと気付いた場合、ただちに送金のキャンセルや組み戻し手続きを行いましょう。速やかに金融機関に連絡して状況を説明し、迅速な対応を依頼することが大切です。送金後の迅速な行動が被害の軽減に繋がるため、金融機関との連携は不可欠です。

被害状況の把握・時系列記録や証跡の確保

被害に遭遇した際は被害状況を正確に把握し、発生した経緯を時系列で記録することが大切です。この記録は、今後の対策や法的措置を講じる際の重要な資料となり得ます。

また、詐欺に利用されたメールや通信記録などの証拠を確実に保全することも、後の調査や法的な対応において非常に重要です。これらの記録は、詐欺行為の解明や加害者の特定に役立ちます。

取引先や関係者に連絡する

ビジネスメール詐欺に利用された取引先や関係者への連絡は、被害の拡大を防ぐために不可欠です。詐欺の事実を速やかに伝え、情報の共有を行うことで、関係者間の信頼を守りつつ、さらなる被害を未然に防ぐことに寄与します。

また、取引先や関係者への連絡により、詐欺行為の詳細が明らかになる可能性も高まります。取引関係によっては連絡しづらい場合もありますが、被害拡大を防ぐために早急に連絡を取りましょう。

ウイルスチェック・パスワードの変更

ウイルスチェックを実施し、その上でパスワードの変更を行うことも重要です。なぜなら、ビジネスメール詐欺による被害の一環として、マルウェア感染のリスクがあるためです。詐欺メールの受信後は速やかにウイルスチェックを行い、システムの安全性を確保するよう徹底しましょう。

また、関連する全てのアカウントのパスワードを変更し、セキュリティを強化することもポイントです。パスワードを変更する際は、以下のような複雑なものが推奨されます。

複雑なパスワードを設定することで、ビジネスメール詐欺以外のサイバー攻撃の被害も軽減できます。

原因調査・社内への注意喚起

ビジネスメール詐欺が発生した原因を徹底的に調査し、同様の事件の再発を防ぐための対策を講じましょう。原因の究明は、今後のセキュリティ対策を効果的に進める上で不可欠です。

また、詐欺の手口や発生した事例を社内で共有することで、従業員のセキュリティリテラシーの向上に繋がります。これにより、従業員一人ひとりがリスクを認識し、警戒することが可能になります。

添付ファイルやリンクを不用意に開かないようにする

未知の送信者からの添付ファイルやリンクは開かないようにしましょう。これらは、マルウェア感染や情報漏洩の原因となり得るため、不用意に開かず、削除することが大切です。

また、詐欺メールには特定の特徴が見られることが多いため、不自然な言い回しや、急を要する内容には特に警戒が必要です。疑わしい場合は、別の方法で送信者の真意を確認しましょう。

不審メールの共有体制を確立する

社内で不審なメールを共有し、情報の共有体制を確立することが重要です。これにより、同じ詐欺メールによる被害を防ぐことが可能になります。

従業員間での情報共有は、セキュリティ意識の向上にも繋がります。また、社内で定期的にセキュリティ研修を行うことで、従業員が最新の詐欺手口に対して警戒できるようになります。

メール以外でコミュニケーションを取る

重要な取引や指示に関しては、メール以外の手段で確認を取るよう徹底しましょう。以下のような方法でコミュニケーションを取ることで、詐欺のリスクを大幅に減らすことができます。

例えば、メールでの指示に従う前に直接電話をかける、もしくは対面で確認を取ることが効果的です。その際は名刺やアドレス帳など、信頼できる情報源から連絡を取るようにしましょう。

従業員のリテラシーを向上させる

従業員のリテラシー向上のため、ビジネスメール詐欺の手口や対策に関する研修を実施することが大切です。これにより、従業員が詐欺のリスクを認識し、適切な対応ができるようになります。

研修では一般的な詐欺の手口や見分け方、迅速に対応する方法を具体的に学べる体制を整えましょう。定期的な研修を行うことで、従業員のセキュリティ意識を継続的に高めることができます。

セキュリティ対策ソフトを導入する

セキュリティ対策ソフトの導入は、メールの安全性を高める有効な手段です。不審なメールを自動的にフィルタリングし、社内のセキュリティを強化することが可能になります。

特に、フィッシングメールやマルウェアを含むメールを効果的に遮断できるソフトウェアを選ぶことが肝心です。また、セキュリティ対策ソフトの導入は、以下のようなサイバー攻撃に対しても有効です。

企業としての安全性を継続的に高めたい場合は、信頼性の高い対策ソフトを導入するようにしましょう。

【関連記事】企業が取り組むべきセキュリティ対策とは？重要性や対策内容を解説