脅威アクターが、企業ユーザーを標的とした大規模なビジネスメール詐欺(BEC)キャンペーンで、AI支援による請求書詐欺メールを100万通以上送信していたことが分かりました。
この攻撃はMicrosoftが8月3日から5日にかけて検知したもので、経営幹部や信頼されているブランドになりすまし、財務担当チームに約5万ドルの不正な自動清算機関(ACH)送金を実行させようとするものでした。
このキャンペーンは主に米国内の組織を標的としており、全メッセージの87.7%が米国宛てに送られていました。標的となった業種には、ITサービス企業、経営コンサルティング会社、消費財メーカーなどが含まれていました。
典型的な請求書詐欺とは異なり、攻撃者は複数のソーシャルエンジニアリング手法を1通のメールに組み合わせていました。
攻撃者は被害組織のCEO、CFO、社長を詐称し、送信者の表示名、返信先(Reply-To)欄、そしてメール署名に経営幹部の名前を使用していました。
メールには、経理担当者に請求書の処理を指示する簡潔な承認通知が記載されていました。
依頼をより本物らしく見せるため、攻撃者はServiceNowの年間サブスクリプション請求書を偽造し、さらに偽の転送メールのやり取りも添付していました。
Microsoftによれば、ServiceNowをはじめキャンペーン内で名前を使われた他の組織は、侵害を受けておらず、この攻撃に関与もしていないとのことです。
攻撃者は不正なドメイン、偽の請求書、なりすました身元を組み合わせることで、信憑性のある支払いのストーリーを作り上げていました。
偽造された請求書にはServiceNowのブランドロゴ、項目別の料金明細、請求日、支払い詳細、そして銀行振込の指示が記載されていました。
「BILLED TO(請求先)」欄は標的組織の名称と経営幹部の詳細情報を用いてパーソナライズされており、受信者が支払い要求を信用しやすくなるよう工夫されていました。
攻撃者はさらに、被害企業の経営幹部とServiceNowの社長を名乗る人物との間で交わされたとする偽のメールスレッドも埋め込んでいました。
これらのメッセージではソフトウェアの購入、導入、請求処理について話し合われていましたが、防御側が気づける警戒サインもいくつか存在していました。
転送されたメッセージには、本物のメールスレッドに通常見られるヘッダー情報や視覚的なグループ化が欠けていました。また、一部の文面には「no need to copy me(私をCCに入れる必要はない)」といった不自然な表現が含まれていました。
それ以外のケースでは、表示名と送信者アドレスが一致していなかったり、件名に「due bill(未払い請求書)」や「ACH payment(ACH送金)」といった不審な金融用語が使われていたりしました。
キャンペーンの開始前、脅威アクターは複数のドメインを登録していました。そのうちの一つservice-nowinc[.]comは7月31日に登録され、ServiceNowになりすましていました。
このドメインは、偽のServiceNow幹部のメールアドレスと、偽造された請求書の両方に使用されていました。もう一つのドメインdomainlify[.]netは、返信先(Reply-To)アドレスに使用されていました。
Microsoftが確認したいくつかの兆候は、生成AIによるテンプレート作成と一致するものでした。
これらには、異常なほど詳細なHTMLコメント、過剰な見出しラベル、統一されたフォーマット、大文字表記の見出し、バナー風の区切り線、そして繰り返し使われるダッシュ記号(em dash)などが含まれていました。
こうした手がかりだけでは、すべてのメッセージがAIによって作成されたと断定することはできません。しかし、攻撃者が再利用可能なテンプレートの構築にAIを活用し、多数の組織向けに手口を迅速にパーソナライズしていた可能性を示唆しています。
注: IPアドレスおよびドメインは、誤ったアクセスやハイパーリンク化を防ぐため、意図的に無効化表記(例: [.])にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス環境内でのみ行ってください。
16,000以上の組織から得られる最新のインテリジェンスで、脅威検知率を58%向上。SOCにTIフィードを統合
翻訳元: https://cyberpress.org/ai-ceo-invoice-fraud/
