不正な送金等を狙うビジネスメール詐欺！UTMは有効？

ビジネスメール詐欺とは

「ビジネスメール詐欺」とは、ある特定の組織や個人へ、偽メールを送って入金や口座変更等をさせるサイバー攻撃です。英語ではBEC（Business E-mail Compromise）と呼ばれており、IPA（独立行政法人 情報処理推進機構）による「情報セキュリティ10大脅威※」では、2018年版が3位、2019年版では2位となっています。
ビジネスメール詐欺では、サイバー犯罪者が、実在する取引先や自社の経営者や上司になりすまし、指定する銀行口座へお金を振り込ませようとします。

たとえば取引先を装った場合は
・財務調査が入っており。現在従来の口座が使用できない
・従来の口座が不正取引に利用され、凍結されてしまった
・技術的な問題が発生して、従来の口座が使用できない

経営者や上司を装った場合は、次のようにメールを送付してきます。
・極秘の買収で資金が急に必要になった
・緊急かつ内密に送金して欲しい
経理担当者は送金してしまい、後から大騒ぎとなります。

※出典：情報セキュリティ10大脅威 2019：IPA 独立行政法人 情報処理推進機構より
https://www.ipa.go.jp/security/vuln/10threats2019.html

話題となった不正な送信詐欺事件簿

たとえばこのようなことがありました。ある運輸会社A社が3.8億円の詐欺被害にあってしまいました。海外の取引先金融会社になりすました犯人が、リース料として偽の請求書をA社に送信しました。その請求書には「振込先の口座が香港の銀行に変更された」と記載されており、A社担当者はそれを信じて振り込んだわけです。 2件目、これも運輸会社の例です。B社に取引先担当者から請求書が届き、支払先を香港の銀行口座に変更したと記してあります。指示どおり振り込もうとしましたが、凍結しており履行できませんでした。後で確認すると、取引担当者は本メールを送付しておらず、偽メールだとわかりました。
3件目は日本国内の企業が、海外のカンファレンスのブース出展に関するメールをやり取りにおける事件です。犯人は海外のカンファレンス事務局の担当者になりすまし、偽の口座情報を連絡して送金させるビジネスメールを発送しています。これは実害が出ています。

ビジネスメール詐欺は情報共有と教育訓練

ビジネスメール詐欺は発見が困難です。スパムメールやフィッシングメールであれば、差出人が怪しい、本文が不自然な日本語や他の言語（英語や中国語など）であったりして、比較的簡単に見抜くことができます。しかし、ビジネスメール詐欺では、業務メールに酷似した差出人やメールの件名、本文、署名が使用され、直前まで交信していた担当者になりすまします。数打って当てようとするスパムメールよりも内容は巧妙です。
ビジネスメール詐欺への対策としては「情報共有」と「教育訓練」が重要になります。
「情報共有」は決して１人では判断しないこと。複数人で確認して送金を実行するようにルール化等をしておくこと。また、経営者や上司(を語るメール)から「緊急かつ内密」といわれても、電話で直接確認するか指示を仰ぎましょう。
「教育訓練」も不可欠です。定期的に偽メールで訓練することをおすすめします。

ウィルスの暗躍を防ぐ

ビジネスメール詐欺は準備が重ねられ、研究と調査がされています。これはシステム内部に入り込んだウィルス（キーロガーなどのマルウェア）なしには困難です。ビジネスメール詐欺が発生するようなシステム環境の見直しが不可欠です。
まずはウィルスの侵入しない体制を作り上げること。効果的なのがアンチウィルス。メールに添付されているウィルスをキャッチでき、たとえ添付ファイルが圧縮されている場合でも、ウィルスを補足することができます。エンドポイントとゲートウェイの両方にアンチウィルスを設置しましょう。
また、アンチスパム機能により、ビジネスメール詐欺犯罪によく使われるワードが入っていると注意を促します。
さらに、フィッシングサイトでIDとパスワードが盗まれ調査されてしまうため、Webフィルタリングも有効です。
これらアンチウィルス、アンチスパム、Webフィルタリング等の機能が統合して提供されているのがUTMです。UTMを導入することで、セキュリティレベルを強化し、ビジネスメール詐欺の予防を図ることができます。