攻撃者は、企業のメールアカウントに侵入するため、「今度の案件で見積もりを出せますか」と尋ねる短いメッセージを送りつけています。営業や調達の担当者が毎週のように対応している、ごく日常的な依頼です。
Fortraのサイバーセキュリティ研究者であるCadence Riddle氏は、「RFQ」(見積依頼)に言及する悪意のあるメールが、2025年10月から2026年9月までの間に12倍に増えたことを突き止めました。約73%のケースで、このおとりメールは認証情報を盗むために作られたページへ誘導していました。
Riddle氏は次のように説明します。「RFQのやり取りは、多くの組織で営業、調達、顧客対応の各チームにとって日常業務です。対応可否を尋ねる短い依頼や、プロジェクトの仕様書を送るという約束は、とりわけ商談の可能性として持ちかけられると、信憑性があるように見えます。しかし受信者が返信すると、攻撃者は通常、業務用の認証情報やMFA情報、セッションデータを収集するよう設計された外部リンクを持ち出します」
Riddle氏によると、最初のメールにはほとんど内容が書かれていません。購買マネージャー、調達担当者、企業の代表者などを名乗り、受信者に対応可否の確認や見積もりの送付を求めますが、案件自体の詳細はほぼ示されません。
返信が届くと、攻撃者は続けてリンクを送ります。リンクはプロジェクトの図面、RFQパッケージ、安全なファイル転送、調達ポータルなどと説明されています。リンク先のページは通常、Microsoft 365やGoogle Workspaceなどの業務用サインイン画面を模倣しています。使われるフィッシングキットによっては、MFAの承認、ワンタイムパスコード、Cookie、セッショントークンの取得まで試みます。一部のメールでは、マルウェアも配布されていました。
業務を装った体裁は、攻撃者にとって有利に働きます。Riddle氏は、RFQという文脈が「ログイン画面に出会った受信者の警戒心を下げる可能性がある」と書いています。
これらのメールは、664種類の送信元ドメインから届いていました。Riddle氏は、使い捨てドメイン、Webメールのアカウント、乗っ取られた正規アカウント、実在の企業に似せて選んだドメインなどが含まれるとみています。
同氏は「送信元ドメインが広範囲にわたるため、送信者の評価やブロックリストは引き続き有用ですが、それだけを検知の根拠にすることはできません」と付け加えました。
信頼されたアカウントが悪用される危険
攻撃者が業務用メールボックスに侵入すると、顧客情報、請求書、支払い指示、社内の連絡先、進行中の案件の詳細などを検索できます。そのアカウントを使えば、送信者を信頼する十分な理由がある同僚、顧客、取引先にフィッシングメールを送ることも可能です。
Riddle氏が挙げる被害の可能性には、支払い先の改ざん詐欺、請求書の操作、不正な購入依頼、顧客情報やプロジェクト情報の漏えいがあります。被害企業の評判の低下も含まれます。
Riddle氏は「直接的な金銭被害が出なくても、インシデントは通常の業務連絡を妨げ、調査のためのリソースを消費し、組織のセキュリティ対策への信頼を低下させます」と指摘しました。
営業、調達、顧客対応の担当者は、面識のない相手から届く文書やリンクを開くのが仕事のため、最も狙われやすい立場にあります。研究者は、これらのチームにリンクを禁止するのは現実的でないと述べています。そのため、見込み客や不審な資料を安全に確認できる手段が必要です。
Riddle氏は、次のように結論づけています。「RFQのプロセスを、明確な対策と責任者を置くべき標的型の悪用事例として扱えば、日常的な業務上の問い合わせがアカウント侵害のインシデントにつながる可能性を減らせます」
翻訳元: https://www.helpnetsecurity.com/2026/10/16/rfq-phishing-emails-sales-procurement-staff/
