ビジネスメール詐欺（BEC：Business Email Compromise）は独立したカテゴリーの金融犯罪であり、幹部を標的とする単なるフィッシングの変種ではありません。フィッシングは、クリックしてはならないものをクリックさせることで成功します。一方、ビジネスメール詐欺はそうした手口を一切使わずに成功します。攻撃の全体像は、通常の業務時間内にあり得そうな内容で特定の人物に行動を促す、入念に調査されたメールです。最大の被害事例では1回の送金で6桁（数十万ドル〜）の額が動き、誰かが気づく頃には資金はすでに海外へ流出しているのが一般的です。
フィッシングフィルターや訓練された従業員が通常警戒するような兆候は一切検出されません。これこそがビジネスメール詐欺と一般的なフィッシングを分ける要因であり、一般的なフィッシングへの警戒意識だけでは防ぎきれない理由です。ここでは、ビジネスメール詐欺を見抜き、組織を保護する方法について解説します。
ビジネスメール詐欺（BEC）とは？
ビジネスメール詐欺とは、犯罪者が標的の信頼する人物（通常は経営幹部、取引先、社内の同僚など）になりすまし、電信送金、支払先情報の変更、または機密性の高い認証情報を要求する標的型攻撃です。
通常、マルウェア(新しいウィンドウ)や悪意のあるリンクは含まれません。異なるのは差出人の偽装方法であり、攻撃者が持つ手段は多くの人が想定しているよりも多岐にわたります。
- 類似ドメイン（タイポスクワッティング）：攻撃者は1文字を変えたりハイフンを追加したりして本物とほぼ同一のドメインを登録し、誰もアドレスを注意深く確認しないことを見込んで悪用します。
- 表示名のスプーフィング：「差出人」の表示名を「John Smith」などの信頼できる人物に設定する一方、実際のアドレスには無関係なものが使用されます。多くのモバイルメールクライアントはデフォルトで表示名のみを表示するため、実際のアドレスが画面に表示されることすらありません。
- ヘッダーのスプーフィング：メールを転送するプロトコルであるSMTP自体は「From」ヘッダーを検証しないため、攻撃者は実際のアドレスを掌握していなくても、そのアドレスから送信されたように見せかけたメッセージを送ることができます。受信トレイに届くかどうかは、受信側ドメインの認証チェックによって決まります。
- 返信先（Reply-To）の改ざん：表示される送信元アドレスは正当に見えますが、背後で異なるReply-Toアドレスが設定されているため、標的が返信を押した瞬間にやり取りが密かに攻撃者へとルーティングされます。
- アカウントの侵害：攻撃者が正規のメールアカウントへのアクセス権を取得し、そのアカウント内部から要求を送信します。
これらの中で最後の「アカウントの侵害」は最も検知が困難です。なぜなら、技術的にはメールに一切不審な点がないからです。正規のカスタムメールドメイン上の正規アドレスから送信されており、標的が過去にやり取りしていたスレッドをそのまま継続している場合さえあります。
ビジネスメール詐欺の手口の仕組み
ビジネスメール詐欺攻撃は行き当たりばったりではなく周到に構築されており、通常は準備段階に犯罪者の労力の多くが費やされます。
調査・情報収集
まずは偵察から始まります。LinkedInのプロフィールから役職や上下関係を割り出し、企業のプレスリリースからM&A、資金調達ラウンド、新たな取引先関係を把握します。さらに不在時の自動返信メールによって、攻撃者が最も必要とする詳細情報（本物の幹部が現在連絡不能であるという確認）がもたらされることもあります。
標的の選定
そこから、攻撃者は標的の選定へと移ります。すべての従業員がビジネスメール詐欺の標的として有用なわけではありません。実際に資金を動かしたり支払い情報を変更したりする権限を持つ人物である必要があり、通常は財務、買掛金担当、人事、給与計算などの部門に絞られます。
なりすましの開始
標的ともっともらしいストーリーが決まると、類似ドメインのスプーフィングまたは実際に侵害されたメールボックスを通じてなりすましが行われます。本物の差出人が使うトーン、署名、言葉遣いの丁寧さに忠実に合わせられます。
接触の実行
攻撃者は社内の人物に接触し、緊急の依頼や要求を行います。「本日中に完了させなければならない企業買収」、「至急数字を必要としている監査人」、「電話がつながらず立ち往生している同僚」などが口実として使われます。
通常、その要求は電信送金、口座情報の変更、ログイン認証情報の要求などであり、疑う余地のない「ただちに実行すべき業務」として持ちかけられます。
ビジネスメール詐欺の4つの代表的なシナリオ
攻撃者が使用するビジネスメール詐欺の代表的な手口をいくつか紹介します。
CEO詐欺
CEO、専務、その他の経営幹部から送信されたように装うメールで、財務チームのメンバーに至急かつ極秘の支払いを処理するよう求めます。トップからの指示に見える要求に対して異議を唱えにくい従業員の心理を利用し、差出人の見かけ上の地位の高さを最大限に悪用します。
請求書詐欺
既存の取引先になりすまし、口座情報の変更を通知してきます。通常、本物の請求書の支払期日の直前に届くようタイミングが計算されています。正当な取引関係と正当な支払いがすでに存在するため、財務チームにとって見抜くのが最も難しい手口の一つであり、企業が報告する最大の単一損失要因の一部を占めています。
給与振込先の変更詐欺
従業員（場合によっては人事担当者）になりすましたメールで、次回の給与支払い前に振込先口座情報を更新するよう給与担当者に依頼します。要求自体が少額かつ日常的な業務であるため、再確認されることがほとんどなく、まさにその点こそが成功してしまう理由です。
ITサポートへのなりすまし
社内ITやヘルプデスクを装ったメッセージで、システムのアップデート前にパスワードの確認やログインプロンプトの承認を求めます。他の3つのシナリオとは異なり、この手口は直接金銭を狙うものではありません。あらゆる形態のビジネスメール詐欺の実行を容易にする認証情報を奪取することを目的としています。
ビジネスメール詐欺がもたらす実際の被害額
ビジネスメール詐欺の被害は一般的なクレジットカード詐欺とは異なって報告されるため、問題の規模が過小評価されがちです。FBIのインターネット犯罪苦情センター（IC3）によると、2024年に報告された21,442件のインシデントにおけるビジネスメール詐欺の被害総額は27億7,000万ドル(新しいウィンドウ)に達し、過去10年間の累計被害額は世界全体で550億ドル(新しいウィンドウ)を超えています。しかし、平均値では実態は見えてきません。大々的に報道された事例を見れば、巧妙に作成されたたった1通のメールがどれほどの金額を動かしてしまうかがわかります。
2013年から2015年にかけて、リトアニアの詐欺グループが、FacebookとGoogleが実際に利用していたハードウェアサプライヤーのQuanta Computerになりすまし、偽の請求書を使って両社から合計1億2,100万ドル(新しいウィンドウ)を騙し取りました。既存の取引関係に合致した請求書であったため、会計チームは疑うことなく支払いを行い、それが2年間にわたって続けられました。
2016年、オーストリアの航空宇宙サプライヤーであるFACC社は、当時のCEOになりすましたメールの被害に遭いました。この記事の冒頭で説明した手口そのままに、架空の買収プロジェクトのために約5,000万ユーロ(新しいウィンドウ)の送金を要求されました。同社は詐欺に気づいた後、送金の一部を阻止したものの、残りの資金が回収されることはありませんでした。
これらの事例は、一般的なフィッシングの統計とは異なる性質を持つ犯罪カテゴリーを示しています。フィッシングは「量」で測定され、何百万通ものほぼ同一のメールが送信されますが、その大半は誰の目にも触れることなくフィルターによって遮断されます。
一方、ビジネスメール詐欺は「個別のインシデント」として測定されます。それぞれが特定のターゲットと1件の支払いに合わせて構築されており、ブロックされた何千通ものフィッシングメールよりも、たった1回の攻撃が半日で甚大な被害をもたらす力を持っています。
過去に電信送金を行ったり、サプライヤーの口座情報を変更したりしたことがあるすべての組織は、これを現実の財務リスクとして捉える必要があります。そして、疑わしいインシデントが発生した場合は、各国の詐欺報告センター（米国のFBI IC3、英国のAction Fraud、その他の同等の機関）に報告してください。
ビジネスメール詐欺を実際に阻止する統制対策
ビジネスメール詐欺はフィッシング訓練で重視される技術的な警告サインをすり抜けるため、それを防ぐ統制策も異なってきます。セキュリティ意識の向上も役立ちますが、実際に効果を発揮する防御策は手続き的および技術的なものであり、従業員がメールをより注意深く読むことだけに頼るものではありません。
二重承認
設定された基準額を超えるすべての支払いに対する二重承認は、誰かが思い出したときに行う任意の対応ではなく、必須義務でなければなりません。要求がいかに役職の高い人物からのものに見えたり緊急に見えたりしても、1人の承認だけで多額の資金を動かせる状態にしてはなりません。
コールバック確認（電話による照会）
コールバック確認は、メールだけではカバーできない穴を塞ぎます。口座情報の変更や支払いの実行を求める要求は、必ず電話で確認する必要があります。その際は事前に登録されている電話番号を使用し、メールに記載された番号は絶対に使用してはなりません。攻撃者が提供した番号では、標的が攻撃者に直接つながってしまうだけだからです。
支払承認手順の見直し
支払承認手順を定期的に見直すことも、ビジネスメール詐欺のリスクを長期的に低減するのに役立ちます。事業が成長するにつれ、一時的な例外や非公式な簡略化の手順が、妥当性を再確認されることなく日常業務に組み込まれてしまいがちです。誰が支払いを承認できるか、口座情報の変更がどのように承認されるか、どの取引に追加の検証が必要かを見直すことで、財務統制が組織の現在のリスクレベルに適合し続けるよう維持できます。優れた設計の手順であっても、ビジネスの進化に合わせて見直さなければ有効性を失ってしまいます。
メール認証
技術的なメール認証はメールセキュリティの重要な要素であり、一般的なフィッシングとは異なる意味でビジネスメール詐欺において極めて重要です。なぜなら、ビジネスメール詐欺は経営幹部になりすますために組織自身のドメインをスプーフィングすることが多いためです。
SPFおよびDKIMと連携したDMARCは、自社のドメインに対する認証に失敗したメッセージをどのように処理すべきかを受信メールサーバーに指示します。これにより、攻撃者が自社のCEOになりすましたメールを送信することが大幅に困難になります。
オープンなセキュリティ文化
その根底に文化的な規範がなければ、これらは一切機能しません。つまり、誰からの依頼に見えようとも、一旦立ち止まって確認することは常に容認されるべきだということです。上長に対して邪魔をしている、あるいは不信感を抱いているように見られることを恐れる従業員こそ、ビジネスメール詐欺がまさに標的とする対象です。そしてその恐れは、通常と異なる依頼に疑問を持つことは不忠義ではなく期待される行動であると、経営陣が繰り返し明確に伝えて初めて解消されます。
ビジネスメール詐欺の兆候を見抜く方法
ビジネスメール詐欺は、明確な技術的警告サインによって事前に察知できることは稀です。メールが見慣れたアドレスから届き、実際のプロジェクトに言及し、過去のやり取りと一致する表現が使われていることもあります。そのため、メールそのものよりも、その依頼を取り巻く背景や文脈の方が重要になることが少なくありません。
ビジネスメール詐欺の調査では、いくつかの共通したパターンが繰り返し見られます。通常の承認手順を迂回する依頼には、常に疑問を持つ必要があります。支払いを極秘にするよう求める予期せぬ指示、請求書の支払期日直前における取引先の銀行口座情報の変更、あるいは役員が出張中で連絡が取りにくいタイミングで届く依頼なども同様です。攻撃者は、従業員が別のチャネルで依頼の真偽を確認しにくい状況を意図的に選びます。
コミュニケーションスタイルのわずかな変化も手がかりになり得ます。普段は支払いの承認を委任している役員が、突然自ら支払いを求めてくることがあります。また、通常はアカウントマネージャー経由で連絡してくる取引先が、別の連絡先から口座情報を送信してくる場合もあります。これらの兆候が単独で攻撃を証明するわけではありませんが、資金を移動したり口座情報を変更したりする前に、追加の確認を行うきっかけとすべきです。
最も安全なアプローチは、通常と異なる金銭的な依頼を、緊急の判断を要する状況としてではなく、ビジネスプロセスの例外として扱うことです。信頼できる電話番号を使った短い通話や、確立された社内コミュニケーションチャネルによる確認によって、回復に数週間から数か月かかるような損失を防ぐことができます。
認証情報はどのようにビジネスメール詐欺を容易にするのか？
すべてのビジネスメール詐欺が、偽装された類似ドメインに依存しているわけではありません。すでに他所で漏洩していたパスワードを使って攻撃者が単純にログインした、本物の侵害されたメールアカウントから始まることもあります。
一度侵入してしまえば、何も偽造する必要はありません。過去のスレッドを閲覧し、トーンや書式を完全に真似て、すべての認証チェックを通過するアドレスから不正な依頼を送信できます。なぜなら、それが正真正銘、差出人自身のアカウントだからです。
ここで、パスワード管理の衛生状態とビジネスメール詐欺の防止が直接重なり合います。ProtonのData Breach Observatoryは、被害を受けた企業の内部の誰もが気づくよりもはるか前に、企業の認証情報が犯罪データセットに浮上する頻度を追跡しています。そして、アカウントの侵害こそが、そうしたデータによってもたらされる結果に他なりません。
安全なビジネス用メール、すべてのアカウントでの一意のパスワード、そして多要素認証（MFA）を組み合わせることで、1つの侵害で漏洩したパスワードを再利用してメールボックスに侵入され、内部からビジネスメール詐欺を仕掛けられるのを防ぐことができます。
Proton Pass for Businessのようなビジネス向けパスワードマネージャーを使用すれば、個々の従業員がパスワードの再利用をしないよう注意することに頼るのではなく、組織全体でこの基準を維持することが現実的になります。認証情報が適切に生成・保管されていれば、データ侵害に対する脆弱性やアカウント乗っ取りのリスクは大幅に低減されます。
安全なビジネス向けパスワードマネージャーで、ビジネスアカウントを侵害から保護しましょう。
