あのビジネスメール詐欺(BEC)はDMARCで防げたか（日本プルーフポイント）[Security Days Spring 2018]

福岡を皮切りに名古屋、大阪、そして3月7日からの3日間、東京で開催される「Security Days Spring」は、国内外のセキュリティベンダーによるセミナー中心のイベントで、多くの企業や専門家が最新知見の講演を行う。

研修・セミナー・カンファレンスセミナー・イベント

2018.3.5 Mon 10:00 PR

福岡を皮切りに名古屋、大阪、そして3月7日からの3日間、東京で開催される「Security Days Spring」は、国内外のセキュリティベンダーによるセミナー中心のイベントで、多くの企業や専門家が最新知見の講演を行う。

以前から存在したが、2017年末国内企業の被害が報道され突然注目が高まったBEC（ビジネスメール詐欺）について、どのような技術的対策が可能なのか、日本プルーフポイント株式会社セールスエンジニアリング部シニアセールスエンジニアの佐藤剛氏に、国内外の被害状況や対策手段、そして3月8日(木)の同社講演の見どころについて聞いた。

――国内では、昨年大手航空会社がBECによる被害を受けていたことが発覚し、大きなニュースになりました。メールセキュリティを専門にやってこられたプルーフポイントとして、BECの状況をどう見ていますか。

佐藤氏：BECに限らず企業の詐欺被害はなかなか表に出にくいので、あまり多くない印象ですが、じつは日本でも以前から問題になっていました。とくにグローバル展開する企業の海外拠点ではBECの着弾や実害が報告されています。

日本国内の場合、複数の承認者を経るなど送金業務プロセスが規定されており、比較的BECのような詐欺から守られていますが、そうではない海外拠点が狙われやすいようです。また、BECの多くが英語です。

――BECが増えたのはやはり昨2017年からですか？

佐藤氏：2015年から2016年への１年が45％と高い伸長率でした。2017年は、前年比の伸びは落着いたものの増え続けているのは確かです。

BECの特徴は、ランサムウェアと比較して、1件あたりの被害金額が膨大になり、攻撃者にとって実入りのよい攻撃になっていることです。増加傾向は続くと見ています。

――航空会社の事例では、グループ企業を含めて2件ほど攻撃があったようです。なにか日本を狙ったBECキャンペーンのようなものがあったのでしょうか。

佐藤氏：ウォッチしている範囲では、そこまで顕著な攻撃、共通項を持つ攻撃は多くないと思います。BECの場合、標的について相当研究して、もっとも効果的なタイミングでピンポイントのメールを送り付けてきます。ターゲットが絞られ、攻撃頻度も支払業務や経理処理に合わせて月に1～2回と少なく、発見が困難なのも特徴です。

以前は、社長から財務部への振込先変更のようなシナリオが多かったのですが、最近は部署内、取引先のなりすましなどバリエーションが増えています。複雑なサプライチェーンを狙うものもあります。

ランサムウェアほど攻撃インフラやエコシステムができている状況ではないと思われますがですが、SNSを活用して標的企業の社長や取締役をフォローするなどいろいろな方法で情報を集めているようです。フィッシングなどによってメールアカウントを窃取できれば、当事者のメールを乗っ取ることもできます。攻撃者が、標的をよく調べて綿密に実行されている感があります。実入りのよい犯罪なので、組織化、ビジネス化は既にされているか、されていないにしろ時間の問題でしょう。

――プルーフポイントのソリューションはBECに対してどう機能しますか。