警告：ビジネスメール詐欺の増加を検知

ビジネスメール詐欺（BEC）の増加：主要な傾向と手口

ビジネスメール詐欺（Business Email Compromise：BEC）攻撃は、世界中の組織にとってますます差し迫った懸念となっています。LevelBlueのSpiderLabsによる最近の調査では、あらゆる企業が把握しておくべきBECの手口に関する重要な傾向がいくつか明らかになりました。

BEC攻撃で主流の誘導手口

調査結果によると、「連絡先の依頼（Request For Contact）」という誘導手口が、過去1年間のBEC攻撃で最も一般的に用いられた戦略であり、報告された全インシデントの43%という大きな割合を占めました。この手口は通常、より高度なデュアルチャネル攻撃の足がかりとなり、サイバー犯罪者は会話をメールからモバイルメッセージングアプリなど別のコミュニケーション手段へ移そうとします。この戦術は被害者を混乱させるだけでなく、従来のメールセキュリティ対策による検知の可能性も低下させます。

継続する脅威：給与振込先変更と文書詐欺

報告書で特定されたもう一つの重要な傾向は、「給与振込先変更（Payroll Diversion）」スキームが根強く続いていることです。これらの攻撃は依然として大きな脅威であり、BEC詐欺全体の31%を占めています。一方、過去数年に注目を集めた「文書の要求（Request for Document）」詐欺は発生割合が低下しているものの、依然として活動しており、全体の2%を占めています。

驚くべきことに、BEC詐欺による損失は2024年だけで20億ドルを超えたと報告されています。この数字は、サイバー犯罪者が手口を継続的に進化させ、詐欺の有効性を高めていることを浮き彫りにしています。

BEC攻撃におけるAIの役割

人工知能がBEC攻撃に入り込んでいることも、報告書で指摘された憂慮すべき傾向の一つです。AIを活用した詐欺は巧妙さが「爆発的」に増しており、大規模言語モデルのチャットボットは、人間が書いたように見える説得力のある文章を生成できます。これらのツールにより、攻撃者はメッセージをより正当で緊急性が高いように見せかけて調整できるため、受信者が本物と詐欺を見分けることはますます困難になっています。

より長く、より複雑なメッセージ

短く簡潔なメッセージという従来の手法からの変化として、BECのやり取りはより長く、より精巧になっています。歴史的に、BECメールは短文で、通常はリンクや添付ファイルのない1〜3文程度の内容が特徴でした。しかし報告書は、これらのメッセージの長さと複雑さが顕著に増加していることを示しています。サイバー犯罪者は、真正性と緊急性を伝えることを狙った詳細なメールを作成する戦略を練っています。

BEC対策のベストプラクティス

BEC攻撃の被害に遭うリスクを軽減するために、LevelBlueは能動的な対策の重要性を強調しています。企業には、従業員向けの包括的なセキュリティ教育の実施、厳格な財務プロセス管理の徹底、強固なID・アクセス管理システムの確立が推奨されています。これらの戦略は、防御の層を形成し、組織がサイバー犯罪者にとって魅力的な標的となることを避けるうえで不可欠です。

より詳細な洞察と推奨事項については、LevelBlueの完全版レポートをご覧ください。BEC脅威の進化する状況を理解し、対抗するための重要な指針が示されています。