経営者になりすまし！CEO偽装BEC攻撃：手口と見抜くべき不審な兆候
はじめに：経営層からの指示は絶対？CEO偽装BEC攻撃の危険性
「BEC攻撃事例ファイル」をご覧いただきありがとうございます。 BEC攻撃（ビジネスメール詐欺）は、取引先や関連会社の担当者だけでなく、社内の役員、特に経営者であるCEOになりすまして、従業員を騙し、不正な送金などをさせようとする手口も増えています。
経営者からの指示となると、「これは重要なことだ」「すぐにやらなければ」と、普段よりも注意力が低下してしまうかもしれません。しかし、まさにその心理的な隙を突くのが、このCEO偽装BEC攻撃です。
この記事では、実際に発生したCEOなりすましBEC攻撃の事例を分析し、その巧妙な手口と、見抜くために知っておくべき「不審な兆候」について詳しく解説します。また、この事例から学ぶべき教訓として、中小企業がコストをかけずに取り組める対策についてもご紹介します。
経営者の皆様ご自身はもちろん、大切な従業員の方々をBEC攻撃から守るために、ぜひ最後までお読みください。
事例分析：CEO偽装BEC攻撃の手口と兆候
事例の概要
この事例では、攻撃者は企業の経理担当者や役員秘書を標的にしました。ある日突然、普段からメールのやり取りがあるはずの経営者（CEO）から「緊急で重要な依頼がある」というメールが届きました。
メールの内容は、経営者が出張中であることや、機密性の高い案件であることなどを理由に、電話での確認が難しい状況であることを強調し、特定の取引先への緊急送金を指示するというものでした。
標的となった従業員は、差出人名が経営者であったこと、内容に緊急性が感じられたことから、深く疑うことなく指示に従ってしまいそうになりました。
騙しの手口
攻撃者は、標的を騙すためにいくつかの巧妙な手口を用いていました。
- メールアドレスの偽装: 差出人名を経営者の名前にするだけでなく、メールアドレスも一見すると正規のものと見分けがつかないよう、ドメイン名を微妙に変えたり（例:
@company.co.jpを@companys.co.jpや@company-jp.comにするなど）、正規ドメインのサブドメインのように見せかけたりしていました。 - 普段のやり取りを装う: 経営者と普段やり取りしているような、少しくだけた表現や、業務に関する言及を混ぜることで、本物のメールであるかのように装っていました。
- 緊急性と機密性の強調: 「至急対応してほしい」「非常に重要な機密案件だ」「外部には一切漏らさないように」といった言葉を使い、標的の心理的な圧力を高め、冷静な判断を奪おうとしました。「今は電話に出られない」「メールでのやり取りのみで進めてほしい」といった指示で、口頭での確認を避けさせようとするのも典型的な手口です。
- 送金指示の具体性: 送金先の銀行口座情報、金額、送金期日などが具体的に記載されており、まるで本当に進んでいる取引であるかのように見せかけていました。
攻撃の兆候：ここに気づけば防げたかもしれない不審な点
この事例において、攻撃メールやその後のやり取りの中に、攻撃を見抜くための「いつもと違う点」や「怪しい点」がいくつか潜んでいました。
- メールアドレスの微妙な違い: 最も重要な兆候の一つです。表示されている差出人名だけでなく、必ずメールアドレスそのものを注意深く確認することが不可欠です。正規のアドレスと一文字でも異なっていないか、ドメイン名が正確か、サブドメインなど普段見慣れない文字列が追加されていないかなどをチェックします。この事例でも、よく見れば正規のドメインとは異なるアドレスが使われていました。
- メール本文の違和感:
- 日本語の不自然さ: 不自然な言い回しや、誤字脱字が多い場合があります。ただし、最近では非常に巧妙な日本語を使う攻撃者も増えています。
- 普段の口調や表現との違い: 経営者や差出人の普段のメールの書き方や口調と比べて、何か違和感がないかを感じ取ることが重要です。普段は丁寧なのに急に高圧的、あるいはその逆など、不自然な変化は兆候です。
- 件名や内容の唐突さ: これまで全く話題に出ていなかった案件について、突然、しかも緊急な送金指示が来るのは不自然です。
- 送金指示の不審な点:
- 普段と異なる送金先: これまで取引のない相手への送金、あるいは普段とは全く違う銀行や支店への送金指示は、強い警戒が必要です。
- 普段と異なる手続き: 通常の社内稟議や申請プロセスを経ずに、メール指示のみで即座に送金させようとするのは異常です。
- 電話などでの確認を強く禁止する: 機密性を理由に、メール以外の手段（特に電話や対面）での確認を頑なに拒むのは、攻撃者にとって正体がバレるのを避けるための行動であり、非常に怪しい兆候です。
- 署名や連絡先: 経営者のメールにあるべき正式な署名がない、あるいは普段使用していない携帯電話番号などが記載されている場合も不審です。
これらの「いつもと違う点」や「怪しい点」に気づき、「なぜだろう？」と立ち止まることが、被害を防ぐ第一歩となります。
この事例から学ぶ教訓と対策のヒント
CEO偽装BEC攻撃は、経営層からの指示という心理的な要素を悪用するため、非常に危険です。しかし、日頃からの意識と、少しの注意で被害を防ぐ可能性を格段に高めることができます。ここでは、読者ペルソナである中小企業経営者の方々やその従業員の方々が、コストをかけずに取り組める対策を中心に解説します。
1. 何よりも重要な「二重確認」の徹底
最も効果的な対策は、送金や重要な情報提供を求められた際に、メールや指示が本当に正規のものであるかを別の手段で確認するというルールを徹底することです。
- 具体的な行動:
- メールでの送金指示や秘密裏の対応依頼があった場合、そのメールに返信するのではなく、普段から把握している経営者の電話番号に電話をかけたり、社内チャットツールでメッセージを送ったりして、直接本人に事実を確認する。
- 出張中などで連絡が取れない場合でも、安易に指示に従わず、帰社後や連絡が取れるようになってから改めて確認する、あるいは信頼できる別の役員や担当者に相談する。
- 「この件について電話で確認しないでください」といった指示が含まれていても、むしろその指示自体を不審に思い、必ず別の手段で確認する勇気を持つ。
この二重確認ルールは、特に経理担当者や経営層の近くで働く従業員にとって非常に重要です。コストは一切かかりません。必要なのは、面倒がらずに一手間かける習慣と、疑うことへのためらいを捨てる意識です。
2. メールアドレスのチェックを習慣化する
メールの差出人名だけを見るのではなく、メールアドレス全体を常に確認する習慣をつけましょう。
- 具体的な行動:
- スマートフォンやメールソフトによっては、差出人名しか表示されない設定になっている場合があります。必ずメールアドレスが表示されるように設定を変更しましょう。
- メールを開く前に、受信トレイで差出人メールアドレスをチェックする癖をつけます。
- 正規のメールアドレスを控えておき、怪しいと思ったらすぐに見比べられるようにするのも有効です。
アドレスのチェックは、訓練すればすぐにできるようになります。これもコストはかかりません。
3. 普段との「違い」に気づく感度を高める
BEC攻撃メールには、普段の業務メールや、正規の差出人からのメールにはない「不自然さ」や「違和感」が潜んでいます。
- 具体的な行動:
- 経営者や他の役員、主要な取引先からのメールについて、普段の口調、使われる専門用語、署名の形式、件名のつけ方などを日頃から意識しておきましょう。
- メール本文に、普段使わないような表現や、明らかに不自然な日本語がないか注意します。
- 急な送金指示、通常のプロセスを無視した依頼、過度な秘密保持の要求など、業務フローや常識から外れた指示には「おかしい」と立ち止まるセンサーを働かせましょう。
「何か変だぞ？」と感じる直感を大切にすることが、攻撃を見抜く重要な手がかりになります。
4. 社内での情報共有と相談のルール作り
不審なメールを受け取った際に、担当者一人で抱え込まず、すぐに上司や同僚に相談できる体制を整えることが大切です。
- 具体的な行動:
- 「少しでも怪しいと感じたら、すぐに〇〇さん（上司や担当者）に報告・相談する」という簡単なルールを社内で決め、従業員に周知徹底します。
- 可能であれば、部署内で「不審メール情報共有グループ」のようなものを作り、似たようなメールが来ていないか確認し合えるようにします。
- 経営者や役員の方々は、従業員が「これってBEC攻撃かも？」と相談しやすい雰囲気を作ることが重要です。「疑ってはいけない」と思わせるような圧力はかけないようにしましょう。
組織として情報共有することで、早期に攻撃に気づき、被害を拡大させないことにつながります。これも、特別なシステム導入などのコストは不要です。
まとめ：日頃からの意識と確認が最大の防御策
CEO偽装BEC攻撃は、経営者という権威を悪用する非常に巧妙な手口です。しかし、事例を分析すると、そこには必ず見抜ける「不審な兆候」が存在することが分かります。
中小企業においては、専門的なセキュリティ対策に多くのコストや人員を割くのが難しい場合も多いかと存じます。しかし、今回ご紹介したような「二重確認」「メールアドレスチェックの習慣化」「普段との違いに気づく感度」「社内での情報共有と相談」といった対策は、従業員一人ひとりの意識と、組織内での簡単なルールの徹底で実現可能です。
最も重要なのは、「経営層からの指示だからといって、安易に信じ込まず、必ず確認を行う」という基本的な心構えです。この心構えと、具体的な確認行動を日頃から習慣づけることが、BEC攻撃から会社を守る最大の防御策となります。
ぜひ、この記事の内容を参考に、社内でのBEC攻撃対策の見直しや従業員への注意喚起にお役立てください。