いつもと違う？取引先なりすましBEC攻撃の手口と不審な兆候
はじめに：中小企業を狙うBEC攻撃「取引先なりすまし」の脅威
「BEC（ビジネスメール詐欺）」という言葉を聞いたことがあるでしょうか。これは、企業の役員や取引先、弁護士といった関係者になりすまし、偽のメールを送りつけて金銭をだまし取る詐欺の手法です。大企業で発生するニュースを見聞きすることも多いかもしれませんが、実は中小企業も無関係ではいられません。むしろ、セキュリティ対策が手薄になりがちな中小企業が狙われるケースが増加しています。
特に中小企業にとって身近な脅威となりつつあるのが、「取引先なりすまし」によるBEC攻撃です。普段から頻繁にやり取りのある取引先からのメールは、つい疑うことなく開いてしまいがちです。しかし、その信頼を悪用し、巧みに送金させようとするのがこの手口です。
この記事では、実際の「取引先なりすまし」BEC攻撃の事例を想定し、攻撃者がどのような手口を使うのか、そして攻撃メールやそのやり取りの中に潜む「不審な兆候」について具体的に解説します。この事例を通じて、コストをかけずに今すぐできる対策のヒントをお伝えします。
事例の概要：偽の請求書と振込先変更依頼
ある日、中小企業の経理担当者のもとに、普段から取引のあるA社からのメールが届きました。メールの件名は「○月分の請求書送付のご連絡」となっており、添付ファイルとしてPDF形式の請求書が添付されています。いつもの請求書メールと変わりないように見えました。
添付されていた請求書ファイルを開くと、内容は確かにA社からの請求書です。しかし、普段の請求書と比べて、振込先の銀行口座が異なっていました。メール本文には、「経理システムの変更に伴い、今月より振込先口座が変更になりました。新しい口座へお振込みをお願いいたします。」といったもっともらしい説明が添えられています。
金額も普段の取引で発生する妥当な範囲内の額です。月末も近く、他にも処理すべき業務が山積していた担当者は、特に深く疑うことなく、新しい口座情報で支払いの手続きを進めてしまいました。しかし、後日、A社から「まだ支払いがない」との連絡を受けて、初めて詐欺に遭ったことに気づいたのです。
騙しの手口：巧妙ななりすましと緊急性・正当性の演出
この事例における攻撃者の主な手口は以下の通りです。
- メールのなりすまし:
- 攻撃者は、実際に取引があるA社の社名や担当者名を騙ってメールを送信します。差出人名を本物そっくりに設定するため、ぱっと見ただけでは偽物だと気づきにくいように工夫されています。
- 使用するメールアドレスも、本物のA社のドメイン名と非常によく似た文字列（例：
@A-sha.comが本物なら@A_sha.comや@A-shaa.comなど）を使用したり、フリーメールアドレスを巧妙に偽装したりすることがあります。
- 請求書と振込先変更:
- 取引内容や請求金額が普段のやり取りと大きく違和感がないように偽の請求書を作成します。これにより、経理担当者が内容を詳しく確認する手間を省かせようとします。
- 振込先口座の変更理由として、「経理システムの変更」「合併」「銀行口座の整理」など、もっともらしい理由を付け加えます。これにより、不審に思わせないように正当性を装います。
- 緊急性の演出:
- 支払期限を直近に設定するなどして、担当者に確認する時間を与えず、すぐに手続きをするよう促す場合があります。これにより、冷静な判断力を奪おうとします。
これらの手口は、受信者が「いつもの取引だから大丈夫だろう」「急いで処理しなければ」と思い込んでしまう心理を利用しています。
攻撃の兆候：見抜くための「いつもと違う点」
この攻撃を見抜くための「いつもと違う点」や「怪しい点」は、実はメールや請求書の細部に隠されています。早期に攻撃に気づくための具体的な手がかりを見ていきましょう。
- メールアドレスの確認:
- 最も重要な兆候の一つは、差出人のメールアドレスです。表示されている差出人名だけでなく、必ずメールアドレスそのものを確認してください。本物の取引先のアドレスとスペルが微妙に違う、見慣れないドメイン名になっている、といった場合は非常に怪しいと考えられます。
- メール本文の違和感:
- 日本語の言い回しが不自然である、普段は使わないような敬語が使われている、誤字脱字が多い、といった点も兆候となり得ます。
- 普段のメールの署名と異なっている（会社情報や連絡先が古い、不備があるなど）場合も注意が必要です。
- 振込先口座情報の確認:
- 請求書に記載されている振込先口座が、普段使用している口座と異なる場合は、最大の注意が必要です。
- 口座名義が取引先名と微妙に違っている、個人名になっている、普段利用しないような地方銀行やネット銀行になっている、なども不審な点です。
- 手続きの変更や緊急性の指示:
- 普段と異なる支払い方法や手続きを求められている（例：いつもは請求書受領後に電話で確認するのに、今回は確認不要と指示されているなど）場合。
- 必要以上に緊急性を強調し、迅速な対応を求める内容になっている場合も疑うべきです。
- 添付ファイルの確認:
- 添付ファイル名や拡張子が見慣れないもの、あるいは過去に受け取ったファイルと形式が違う場合も注意が必要です。可能であれば、添付ファイルを開く前にセキュリティソフトでスキャンすることが推奨されます。
これらの兆候は、単独で見ると見過ごしてしまうかもしれませんが、複数の兆候が重なる場合は、詐欺である可能性が極めて高いと考えられます。
事例から学ぶ教訓と対策のヒント：コストをかけずにできること
この事例から学ぶべき最も重要な教訓は、「いつものやり取りであっても、安易に信用せず、必ず確認を行う」ということです。特に、お金に関わる重要な指示（振込先の変更、高額の支払い依頼など）については、普段以上の慎重さが求められます。
中小企業がコストをかけずに実践できる対策のヒントをいくつかご紹介します。
- 「二重確認」のルールを徹底する:
- 最も効果的な対策の一つは、送金指示や振込先変更などの重要な依頼を受けた際に、必ずメール以外の別の方法（電話など）で相手方に直接確認するルールを組織全体で徹底することです。この際、メールに記載されている電話番号ではなく、事前に知っている正式な連絡先を使用することが重要です。
- 「メールを受け取った担当者とは別の人間が電話確認を行う」といった多段階の確認プロセスも有効です。
- 従業員への注意喚起と教育:
- BEC攻撃の手口や具体的な兆候について、従業員全体に定期的に注意喚起し、情報を共有することが不可欠です。
- 「不審なメールを見分けるポイント（メールアドレスの確認、日本語の違和感など）」を具体的に伝え、従業員一人ひとりが「おかしいな」と感じるセンサーを磨くことが重要です。
- 少しでも不審に感じたら、勝手に判断せず、すぐに上司や他の担当者に相談できる社内の雰囲気作りも大切です。
- 「例外対応」に注意する:
- 「今回は特別に」「至急のため」といった言葉で、普段のルールや手続きから外れた対応を求められた場合は、特に慎重になるべきです。
- 自社や取引先の情報管理を見直す:
- 過去のメールアカウントが乗っ取られていないか、といった基本的なセキュリティ対策も重要です（強力なパスワード設定、可能であれば多要素認証の利用など）。
- 公開情報から推測されやすい情報を必要以上に開示していないか、なども考慮に入れると良いでしょう。
これらの対策は、特別なシステム導入など大きなコストをかけずとも、組織内の意識改革やルールの見直し、従業員間の情報共有によって実践できるものです。
まとめ：小さな違和感が詐欺を防ぐカギ
「取引先なりすまし」によるBEC攻撃は、巧妙な手口で普段の業務に紛れ込んできます。しかし、どんなに巧妙に見えても、必ずどこかに「いつもと違う点」や「不審な兆候」が隠されています。
重要なのは、日頃から当たり前だと思っていることの中にも危険が潜んでいる可能性があると認識し、「おかしいな」と感じる小さな違和感を見逃さないことです。そして、特に金銭が関わる重要なやり取りについては、必ず複数の方法で確認を行うルールを徹底することです。
従業員一人ひとりの注意深さと、組織全体の協力体制こそが、BEC攻撃から会社を守るための最も強力な盾となります。この記事で解説した手口や兆候を参考に、ぜひ今日からできる対策を実践してください。