問1 BEC (ビジネスメール詐欺) の手口

情報セキュリティマネジメント試験令和元年度秋期午前、全50問のうちの問1。

出典：令和元年度秋期情報セキュリティマネジメント試験午前問1（原本の振り仮名は省いた）

BEC（Business E-⁠mail Compromise）に該当するものはどれか。

ア巧妙なだましの手口を駆使し，取引先になりすまして偽の電子メールを送り，金銭をだまし取る。
イ送信元を攻撃対象の組織のメールアドレスに詐称し，多数の実在しないメールアドレスに一度に大量の電子メールを送り，攻撃対象の組織のメールアドレスを故意にブラックリストに登録させて，利用を阻害する。
ウ第三者からの電子メールが中継できるように設定されたメールサーバを，スパムメールの中継に悪用する。
エ誹謗中傷メールの送信元を攻撃対象の組織のメールアドレスに詐称し，組織の社会的な信用を大きく損なわせる。

答えと解説を開く

正解はアです。

BEC (Business E-⁠mail Compromise) は、日本語でビジネスメール詐欺と呼ばれます。攻撃者は、取引先や自社の経営者になりすまし、本物らしい文面で「振込先の口座が変わりました」「至急この口座に送金してください」といったメールを送ります。事前に本物のメールのやり取りを盗み見て、文面や時期をそっくりまねることもあります。受け取った担当者が信じて送金すると、お金は攻撃者の口座に入ります。アはこの手口の説明です。正解はアです。

ほかの選択肢が違う理由

イ送信元を詐称した大量のメールで、相手のアドレスをブラックリストに載せさせ、メールを使えなくする妨害の説明です。お金をだまし取る BEC とは目的が違います。
ウ第三者のメールを中継できてしまうメールサーバ (第三者中継、オープンリレー) を悪用する手口の説明です。
エ送信元を詐称して誹謗中傷のメールを送り、組織の信用を傷つける行為の説明です。お金をだまし取る BEC ではありません。

仕組み

BEC は技術より人の思い込みを突く攻撃です。ウイルス対策ソフトでは防ぎにくいので、振込先の変更は、メール以外の手段 (前から登録してある電話番号など) で相手に確かめる、という手順で守ります。

送信ドメイン認証 (SPF や DKIM) を使うと、送信元を詐称したメールを見分けやすくなります。ただし、本物によく似た別のドメインを使われると見抜けないので、手順での確認と組み合わせます。