【事例】新しいプロジェクト開始を悪用するBEC攻撃：急な支払い指示の手口と見抜く兆候
新しいプロジェクト開始を悪用するBEC攻撃とは
新しい事業やプロジェクトの開始は、企業にとって希望に満ちたエキサイティングな時期です。しかし、残念ながらこのような機運はサイバー攻撃者にとって、騙しのチャンスとなり得ます。特にBEC（ビジネスメール詐欺）攻撃では、新しい状況や普段と異なる業務プロセスを巧みに悪用し、従業員に緊急かつ不正な送金を指示する手口が見られます。
本記事では、「新しいプロジェクト開始」という状況に乗じたBEC攻撃事例を基に、その具体的な手口、攻撃メールに見られる兆候、そして中小企業経営者や従業員が学ぶべき対策のヒントについて解説します。この事例から学び、皆様の会社をBEC攻撃から守るための参考にしていただければ幸いです。
事例の詳細分析：攻撃の手口と具体的な兆候
この事例では、ある中小企業が長らく準備を進めてきた新規事業プロジェクトの開始直前に攻撃が発生しました。
攻撃の概要
攻撃者は、そのプロジェクトの主要メンバーである「〇〇部長」になりすまし、経理担当者へメールを送付しました。メールの内容は、プロジェクト遂行に不可欠な「初期コンサルティング費用」または「特別ライセンス費用」といった名目で、指定された海外口座へ「本日中に」送金するよう指示するものでした。このメールは、プロジェクトの具体的な名称や、関連すると思われる部署名などが盛り込まれており、一見すると正規の指示のように見えました。
騙しの手口
- 状況の悪用: 攻撃者は何らかの方法（情報漏洩、SNS上の公開情報、あるいは単なる推測）で、会社が新しいプロジェクトを開始すること、そしてそれに伴う外部への支払いが発生する可能性が高い時期であることを把握していたと考えられます。
- 巧妙ななりすまし: なりすましのメールアドレスは、実際の〇〇部長のメールアドレスと非常に似ていました。例えば、「＠」以降のドメイン名が正規のものと一文字だけ違う（例:
co.jpがne.jpになっている）、あるいはドメイン名のスペルが微妙に違う（例:example-co.jpがexampl-e.co.jpになっている）といった手法が用いられました。表示名も「〇〇部長」となっており、受信トレイの一覧では見分けがつきにくいようになっていました。 - 緊急性と秘密裏の強調: メールの本文では、「この支払いはプロジェクトの成功に不可欠であり、期日が迫っている」「外部に漏洩するとプロジェクトに影響が出るため、この件は最小限のメンバーで処理してほしい」といった文言で、緊急性と秘密裏の対応を強く求めていました。これにより、経理担当者が冷静な確認を行う時間を与えず、通常の稟議プロセスを省略させようとしました。
- 具体的な支払い指示: 偽の請求書ファイルが添付されている場合もあれば、メール本文中に送金先の銀行名、口座番号、口座名義（多くの場合、個人名義や普段取引のない海外の銀行）が詳細に記載されている場合もありました。
攻撃の兆候：見抜くべき「いつもと違う点」
この事例において、攻撃メールやその後のやり取りには、以下のような不審な兆候が見られました。
- メールアドレスの微細な違い: 最も重要な兆候の一つは、送信元メールアドレスのドメインやスペルが、正規の担当者のものと微妙に異なっている点です。表示名だけではなく、必ずメールアドレス全体を確認することが不可欠です。
- 不自然な日本語や言い回し: 緊急性を強調するあまり、普段の〇〇部長の言葉遣いとは異なる、やや不自然な日本語表現や、命令的なトーンが見られる場合があります。また、プロジェクト名は合っていても、その詳細に関する記述が曖昧だったり、質問への回答がずれていたりすることもあります。
- 普段と異なる送金先や手続き:
- 送金先口座が普段取引のない海外の銀行であったり、会社名ではなく個人名義であったりする。
- 通常の経理部での支払承認プロセスや稟議を無視し、「急ぎで」「すぐに」と処理を強く要求される。
- 普段は電話やチャットで行うような軽い依頼が、突然メールのみで行われる。
- 添付ファイルの不審な点: 添付された請求書のファイル名や拡張子が不自然（例:
請求書.pdf.exeなど）であったり、内容が不自然（会社のロゴが古い、レイアウトがおかしい、金額が切りの良い数字すぎるなど）であったりすることがあります。
これらの兆候は、一つだけでは見逃しやすいかもしれませんが、複数重なっている場合は、強く警戒する必要があります。
事例から学ぶ教訓と対策のヒント
この事例から、中小企業経営者や従業員がBEC攻撃を防ぐためにどのような点に注意すべきか、コストをかけずにできる対策を含めて考えます。
経営者が主導すべき意識付けとルール作り
- 「急ぎ」「秘密」の指示は必ず確認: 普段と異なる、特に急ぎの送金指示や、特定の従業員にのみ秘密裏に行うよう求める指示があった場合は、たとえ経営者や役員からのメールであっても、鵜呑みにせず、必ず別の連絡手段（普段使っている電話、チャットツールなど）で本人に直接確認するルールを徹底してください。
- 複数人によるチェック体制: 重要な支払い、特に普段取引のない相手や海外への送金については、必ず経理担当者だけでなく、責任者や別の担当者も内容を確認する多段階承認プロセスを導入してください。これにより、一人の担当者が騙されてしまうリスクを軽減できます。これは、特別なシステム投資をせずとも、社内ルールとして定めることで実現可能です。
- 従業員への定期的な注意喚起: BEC攻撃の手口は日々変化しています。今回のような具体的な事例を共有し、「このようなメールが来たら要注意」「確認のルールを忘れないで」といった注意喚起を、定期的かつ継続的に行ってください。社内研修やメール、回覧板など、特別なコストをかけずにできる方法は複数あります。
- メールアドレスの確認習慣を推奨: 従業員に対して、メールの「表示名」だけではなく、「送信元メールアドレス」全体を必ず確認するよう指導してください。スマートフォンなど画面が小さいデバイスでは見落としやすいため、特に注意が必要です。
従業員が実践すべき行動指針
- 「おかしいな」と感じたら立ち止まる: 少しでも普段と違う点、不審な点を感じたら、「間違っているかもしれない」と疑う習慣をつけてください。上司や役員からの指示であっても、遠慮なく確認することが会社を守ることにつながります。
- 別の手段での「確認」を徹底: メールで受けた送金指示について、電話や社内チャットなど、メールとは別の手段で、差出人本人に直接確認することを徹底してください。この一手間が、被害を未然に防ぐ最も効果的な方法です。正規の連絡先（メールの返信ではなく、社内の連絡先リストなどから確認した番号やアカウント）を使用することが重要です。
- 添付ファイルの取り扱いに注意: 不審なメールに添付されているファイルは、安易に開かないでください。ファイルを開く前に、送信元やファイル名に不審な点がないか確認し、必要であればIT担当者（もし社内にいる場合）や上司に相談してください。
- 安易に情報を公開しない: SNSや会社のウェブサイトなどで、進行中のプロジェクトや契約に関する詳細情報（関係者の氏名、役職、具体的な内容、開始時期など）を必要以上に公開しないよう注意してください。攻撃者はこれらの情報を悪用して、より巧妙ななりすましメールを作成します。
これらの対策は、高度なセキュリティツールを導入せずとも、社内での意識改革と簡単なルールの設定・遵守によって十分に実施可能です。
まとめ
新しいプロジェクト開始という状況は、攻撃者にとってBEC攻撃を仕掛ける絶好の機会となり得ます。本記事で紹介した事例のように、「〇〇プロジェクト関連の急ぎの支払い」といった具体的な文脈で、巧妙ななりすましメールが送られてくる可能性があります。
このような攻撃を見抜くためには、メールアドレスの微細な違い、不自然な日本語、普段と異なる送金先や手続きといった「兆候」に気づくことが重要です。そして何よりも、「おかしいな」と感じたら、必ず別の手段で正規の担当者に確認する、複数人でチェックするといった基本的な確認行動を徹底することが、被害を防ぐための最大の防御策となります。
IT専門知識がなくても、これらの基本的な注意点と確認の習慣を、経営者だけでなく従業員一人ひとりが身につけることで、BEC攻撃のリスクを大幅に低減できます。ぜひ、本記事の内容を参考に、皆様の会社でのBEC対策を見直してみてください。