ビジネスメール詐欺（BEC）とは

ビジネスメール詐欺（BEC）とは

ビジネスメール詐欺（BEC）とは、取引先や自社の経営者などになりすました偽の電子メールを送りつけ、従業員をだまして攻撃者が用意した口座へ送金させる詐欺のことです。英語のBusiness E-mail Compromiseを略してBECと呼ばれます。

IPA（情報処理推進機構）は、BECを「巧妙な騙しの手口を駆使した、偽の電子メールを組織・企業に送り付け、従業員を騙して攻撃者の用意した口座へ送金させる詐欺」と説明しています。送金処理を扱う経理担当者や、決裁権を持つ役職者が狙われやすいのが特徴です。

BECの主な手口

IPAは、だます相手によってBECを大きく2つのパターンに分類しています。

• 取引先からの請求書になりすますパターン（実在の取引先を装い、振込先口座を攻撃者の口座に変更させる）
• 経営者・幹部になりすますパターン（社長や役員を装い、緊急の送金を指示する）

いずれも、実際のやり取りに割り込む形で本物らしいメールを送ってくるため、文面だけで偽物と見抜くことは容易ではありません。事前にメールアカウントを乗っ取って正規のやり取りを盗み見し、自然なタイミングで偽の指示を送り込む手口も確認されています。

BECへの備えと保険

警察庁やIPAは、BEC対策としてメール以外の手段による確認を呼びかけています。送金や口座変更の依頼を受けた際は、電話など別の連絡手段で相手に直接確認すること、社内の送金手続きに複数人によるチェックのルールを設けること、多要素認証などでメールアカウントの乗っ取りを防ぐことが有効とされています。

BECは技術的な防御だけでは防ぎきれないため、従業員一人ひとりへの注意喚起と社内の確認体制づくりが基本となります。あわせて、サイバー攻撃による被害に備える手段として、サイバー保険のように事故対応や損害をカバーする保険を検討する企業も増えています。補償の範囲は商品によって異なるため、自社のリスクに合った内容かを確認することが大切です。

参考文献

1. IPA（情報処理推進機構） - ビジネスメール詐欺（BEC）対策 - BECの定義・手口・対策の解説
2. 警察庁 - ビジネスメール詐欺に注意！ - BECの被害対応と防止策の解説
3. 日本損害保険協会 - サイバー保険（企業のための保険ナビ） - サイバーリスクと保険の解説