～ 日本語メールの攻撃事例を確認、あらゆる国内企業・組織が攻撃対象となる状況に ～
最終更新日：2018/08/27
独立行政法人情報処理推進機構セキュリティセンター
“ビジネスメール詐欺”は巧妙に細工したメールのやりとりにより、企業の担当者を騙し、攻撃者の用意した口座へ送金させる詐欺の手口です。IPAは、2017年4月、情報提供を受けた事例と手口の解説とともに注意喚起を行いました。
URL：https://www.ipa.go.jp/security/announce/20170403-bec.html
その後、2017年12月には国内大手航空会社がビジネスメール詐欺により約3.8億円の被害に遭ったとの報道があり、更に2018年7月には国内でビジネスメール詐欺に関与した容疑で逮捕者が出る(*2)など、国内企業にとって差し迫る脅威となっています。IPAへの情報提供（未遂を含む）は、2015年11月から2018年7月の約2年半で計17件となり、うち5件で金銭的被害が確認されています。更に2018年7月、IPAとしては初めて”日本語のビジネスメール詐欺”について、実際のメール内容の情報提供がありました（図1）。
図1 日本語のビジネスメール詐欺のメール
この事例は、CEOを詐称し、偽の弁護士を文面に登場させながら、「機密扱いでお願いしたい」という内容のメールが着信したというものでした。このメールに担当者が返信したところ、約5分後、更に「国際送金の必要がある」というメールが送りつけられてきました（詳しくは下記レポートに記載）。このときのメールのやりとりは、全て日本語によるものでした。
IPAではこれまで、英語によるビジネスメール詐欺を確認してきました。しかし、上述の事例のように、今後、日本語の文面によるビジネスメール詐欺が増加した場合、海外との取引がない、あるいは英語のメールのやりとりの習慣がない国内の一般企業・組織も被害に遭う可能性が急激に高まると考えられます。
ビジネスメール詐欺は、手口が悪質・巧妙なだけでなく、金銭被害が多額になる特徴があります。被害を防止するためには、特に企業の経理部門等が、このような手口の存在を知り、社内でのチェック体制の再確認と整備を行うことが重要です。これらの状況をうけ、IPAから、新たな事例と手口を詳細に解説するレポートを公開するととともに、改めて注意を呼びかけます。
対策
ビジネスメール詐欺は、メールのなりすまし等のサイバー攻撃の手法を用いつつ、巧妙に人を騙す手口です。システムやセキュリティソフトによる機械的な防御、偽メールの排除が難しいことが、被害抑止を難しくしています。従って、まずは企業や組織の職員へ、このような詐欺の手口があるということを知っていただく必要があります。その上で、次のような対策を行うことが望ましいと考えます。
詳しくは、下記レポートの3章「ビジネスメール詐欺への対策」を参照してください。
ビジネスメール詐欺「BEC」に関する事例と注意喚起（続報） レポート
本注意喚起とあわせて公開するレポート「ビジネスメール詐欺 『BEC』に関する事例と注意喚起（続報）」では、これまでJ-CSIP等の活動を通じてIPAへ情報提供があった17件の事例の概要と、そのうち新たな手口や特徴がみられた5件の実事例の詳細について、攻撃の流れや技術的手口を解説しています。また、組織内での注意喚起にご利用いただけるよう、要点のみを記載した資料も用意しました。
本レポートをビジネスメール詐欺の対策のための参考としてください。
脚注
(*1) Business E-mail Compromise （ビーイーシー）
(*2) 7千万円送金させた疑い ビジネスメール詐欺で逮捕 （日本経済新聞）
https://www.nikkei.com/article/DGXMZO32602020U8A700C1CC1000/
サイバー情報共有イニシアティブ（J-CSIP（ジェイシップ））
J-CSIPは、公的機関であるIPAを情報の中継点として、参加組織間でサイバー攻撃に関する情報共有を行い、対策に繋げていく取り組みです。IPAと各参加組織（あるいは参加組織を束ねる業界団体）間で秘密保持契約（NDA）を締結するなどして、参加組織およびそのグループ企業において検知されたサイバー攻撃等の情報をIPAに提供いただき、情報提供元に関する情報や機微情報の匿名化を行った上で、参加組織間での情報共有を行っています。
J-CSIPの活動については、「サイバー情報共有イニシアティブ（J-CSIP（ジェイシップ））」を参照ください。
本件に関するお問い合わせ先
IPA セキュリティセンター 松坂／伊藤
報道関係からのお問い合わせ先
IPA 戦略企画部 広報戦略グループ 白石
更新履歴
| 2018年8月27日 | 公開 |
|---|
