【事例】新しいサービス契約の緊急支払いを騙るBEC攻撃：急ぎの指示と見抜くべき兆候
新しいサービス契約に関する緊急の支払い指示を騙るBEC攻撃とは
BEC（ビジネスメール詐欺）攻撃は、巧妙な手口で企業の資金を騙し取ろうとするサイバー犯罪です。特に中小企業は、セキュリティ体制が十分でない場合が多く、狙われやすい傾向にあります。今回は、「新しいサービス契約に関する緊急支払い指示」を装うBEC攻撃の事例を取り上げ、その手口と見抜くべき兆候、そして中小企業でできる対策のヒントをご紹介します。
なぜこの事例から学ぶべきなのでしょうか。新しいサービス導入や契約は、企業の成長や効率化のために不可欠なプロセスであり、担当者にとっては「急ぎで進めるべき」という心理が働きやすい状況です。攻撃者はこの心理を巧みに突き、冷静な確認を怠らせようとします。この事例を知ることは、同様の状況で冷静に対処するための重要な一歩となります。
事例の概要と攻撃の手口
この事例では、中小企業の経営者や、特定のサービス導入を担当する役員・社員宛てに、普段取引のない海外のベンダーやコンサルタントを名乗るメールが届くことから始まります。
メールの内容は、非常に巧妙に作成されています。
- なりすまし: 会社の役員（多くの場合、社長）や、そのサービス導入に関わっている可能性のある人物になりすましていることがあります。あるいは、実在しそうな海外のサービスプロバイダーやコンサルティングファームを名乗ります。
- 件名: 「【重要】新しい[サービス名]契約に関する最終確認」「至急：[サービス名]契約の支払いについて」など、重要性や緊急性を強調する件名が使われます。
- 本文:
- 会社の事業や、現在検討している可能性のあるサービスについて言及し、説得力を持たせます。（例：「以前お話しした[サービス名]について、契約の準備が整いました。」）
- 新しいサービス導入には迅速な対応が必要であること、支払いが遅れるとサービス開始に支障が出るなど、緊急性を煽ります。
- 「社内の承認は済んでいるはず」「秘密保持契約のため、社内での確認は限定的にしてほしい」などと伝え、担当部署（特に経理部門）との確認を回避させようとします。
- 支払い方法として、普段使わない海外送金や特定の銀行口座への振込を指示します。送金先の口座情報が具体的に記載されていることがほとんどです。
- 契約書や請求書を添付ファイルで送付してくる場合もありますが、これらも偽造されています。
この手口の狙いは、新しい契約やサービス導入という状況の不慣れさや、緊急の指示に対する心理的なプレッシャーを利用し、冷静な判断や正規の確認プロセスを経ずに送金を実行させてしまう点にあります。
攻撃メールに見られる具体的な兆候
このようなBEC攻撃メールには、注意深く見れば気づくことができる「いつもと違う点」や「怪しい点」が必ず存在します。早期に攻撃を見抜くための具体的な手がかりをいくつかご紹介します。
- メールアドレス:
- 送信者のメールアドレスが、普段取引のある相手や社内の正式なアドレスと微妙に違う。（例：「co.jp」が「ne.jp」になっている、アルファベットが一文字違うなど）
- フリーメールアドレス（Gmail, Yahoo!メールなど）が使われている。
- 会社のドメイン名に似ているが、スペルがわずかに異なるドメインが使われている。（例：「example.com」が「exanple.com」になっているなど）
- メールの内容:
- 日本語が不自然である。翻訳ツールを使ったようなぎこちない言い回しや、漢字・送り仮の間違いが見られる。
- 普段やり取りしている相手（役員や取引先）の文体や言葉遣いがいつもと違う。
- 本来担当するはずの部署（経理など）を通さずに、特定の個人（経営者など）に直接支払い指示が来ている。
- 電話での確認を避けさせようとする言動がある。（例：「私は出張中で電話に出られません」「緊急なのでメールで対応してください」など）
- 契約書や請求書が添付されているが、ファイル名がおかしい、拡張子が怪しい（.exeなど）、またはパスワード付きZIPファイルで送られてくる（特に、そのパスワードが別のメールや電話で知らされていない場合）。
- 支払い指示:
- 普段取引のない、見慣れない相手からの支払い指示である。
- 支払い先が海外の銀行口座である。
- 普段使わない銀行口座や支払い方法を指定してきている。
- 金額が大きいにも関わらず、異常に短い支払い期限が設定されている。
- 請求書の記載内容（金額、支払先情報など）に不審な点がある、または契約内容と一致しない。
- その他の兆候:
- 過去のやり取りを参照せずに、突然単発のメールで重要な支払い指示が来ている。
- CCやBCCに、見覚えのないメールアドレスが含まれている。
これらの兆候のいずれか一つでも気づいた場合は、すぐに詐欺の可能性を疑うべきです。
事例から学ぶ教訓と対策のヒント
この事例から、中小企業経営者や従業員がBEC攻撃の予防や早期発見のために学ぶべき教訓と、コストをかけずにできる対策のヒントをいくつかご紹介します。
- 「いつもと違う」に気づく意識を持つ:
- 最も重要なのは、「いつもと違うな」「何かおかしいな」という直感を大切にすることです。普段の業務フローや、相手とのやり取りの傾向を知っているのは、現場の従業員や経営者自身です。不審な点に気づく意識を持つことが、最初の防波堤となります。
- 支払い指示に関する二重確認のルールを徹底する:
- 特に高額な送金や、普段と異なる送金先、緊急の支払い指示に関しては、メールやチャットだけを鵜呑みにせず、必ず電話など別の手段で、正規の担当者（指示を出したとされる役員、経理担当者、取引先の担当者など）に口頭で事実確認を行うルールを設け、徹底してください。攻撃者は電話確認を避けたがりますので、これが非常に有効な対策となります。
- 可能であれば、担当役員や経理担当者など、複数の関係者で支払いを承認する体制を整えることも有効です。
- メールの送信元アドレスをよく確認する:
- メール本文ではなく、メールヘッダーに表示される送信元アドレスを必ず確認する習慣をつけましょう。一見正しく見えても、よく見るとアルファベット一文字が違う、ドメインが異なるなどの不審な点が見つかることがあります。
- 不審なメールは一人で判断せず共有する:
- 怪しいと感じたメールは、すぐに社内で共有し、複数の目で確認することが重要です。他の従業員も同様のメールを受け取っているかもしれませんし、経験のある人が不審な点に気づいてくれることもあります。「変だな」と思ったら、ためらわずに相談・共有しましょう。
- 従業員への注意喚起を定期的に行う:
- BEC攻撃の手口は日々変化します。従業員全員に対し、定期的に「BEC攻撃とは何か」「どのような手口があるか」「不審なメールの兆候は何か」「不審なメールを受け取った場合の対処法（一人で判断せず報告・相談する、電話で確認するなど）」について、注意喚起を行いましょう。専門的な研修は難しくても、朝礼での短い注意喚起や、社内回覧での情報共有など、コストをかけずにできる方法はあります。この「BEC攻撃事例ファイル」の事例記事を共有するのも良いでしょう。
- 普段の業務フローや契約内容を把握しておく:
- 新しいサービス導入や契約に関わる可能性のある従業員は、事前に契約に関する一般的なフローや、考えられる支払方法について基本的な知識を持っておくと、普段と違う指示があった場合に気づきやすくなります。
これらの対策は、特別なITシステムや高額な費用をかけずとも、組織内の意識改革やルール作りによって実践できるものです。
まとめ
「新しいサービス契約に関する緊急支払い指示」を騙るBEC攻撃は、企業の新しい取り組みや緊急性を要する状況を悪用する巧妙な手口です。しかし、メールアドレスの不審な点、不自然な日本語、普段と異なる支払い指示、そして何よりも「急ぎの指示」や「他への確認を避けるよう促す」といった攻撃の兆候に気づく意識を持つことが、被害を防ぐ鍵となります。
この事例でご紹介したように、メールの送信元をよく確認する、支払い指示は必ず電話などで正規の担当者に確認する、不審なメールは一人で抱え込まず社内で共有するといった、コストをかけずにできる基本的な対策の徹底が非常に重要です。従業員一人ひとりが「怪しい」と感じるアンテナを張り、組織として迅速な情報共有と確認を行う体制を構築することで、BEC攻撃のリスクを大幅に減らすことができるでしょう。