ビジネスメール詐欺

ビジネスメール詐欺(BEC)は、偵察・ソーシャルエンジニアリングに加え、送信者偽装または正規アカウントの乗っ取りを組み合わせます。典型例として、CEO 詐欺、取引先請求書の振込先差し替え、給与振込の横取り、W-2 などのデータ窃取バリエーションが知られています。BEC はマルウェアをほとんど必要とせず、権威・緊急性・信頼されたメールチャネルが攻撃の梃子であるため、1 件あたりの被害額が最も大きいサイバー犯罪の一つに数えられます。対策は、DMARC reject の整合一致、メールボックスでの MFA と条件付きアクセス必須化、支払い変更の帯域外検証、経理統制、メールフロー規則の異常検知、定期的なユーザー教育の組合せです。