ビジネスメール詐欺は、巧妙に細工をしたメールのやりとりを通じて企業の担当者を欺き、最終的には企業の資金振込タイミングをピンポイントで狙い、犯罪者が用意した口座に送金させるという詐欺だ。これまでは海外での被害例が多く報告されていたが、日本では2017年12月に日本航空が計3億8000万円もの被害を受けたことが明らかになり、注目が集まっている。

　ではビジネスメール詐欺を、どのように防げばよいのだろうか。詐欺と聞けば、真っ先に思い浮かぶ対策は「だまされないように気を付ける」ということだろうか。だが、日本航空のような大企業ですら、まんまとだまされてしまった事実を踏まえると、気を付ける程度では、この攻撃を完全に防ぐことはできないと考えるべきだ。

　例えば、トレンドマイクロの調査によれば、ビジネスメール詐欺で実際に送られるメール本文は緊急性をアピールするだけでなく、送信者の名前も所属も役職も間違えずに記載されている。なりすましを見抜く「唯一」のヒントになりそうなのは、差出人のメールアドレス欄となるが、ここもそれらしく偽装されている。通常の業務においてビジネス詐欺メールだと見抜くことは、どんなに訓練を積んだとしても100％の対策にはなり得ない。

　なぜ、犯人は送信者の役職や、そもそもターゲット企業が「送金する」という事実を知っているのだろうか。実は、この詐欺に使われるメールの送信は、攻撃の「総仕上げ部分」であり、これが送付できている時点で攻撃はほとんど完了段階にある。故に企業は、そこに対して防御網をはるのではなく、もっと早い段階で敵を検知しなければならない。

　ビジネスメール詐欺の最初の攻撃ステップは、企業内への「侵入」だとされている。企業の中にはメールサービスをGmailやOutlookなどのクラウドサービスに移行しているところもある。詐欺を行う者は、メールサービスの「ログイン画面」を狙い、そっくりに似せたフィッシングサイトを構築したり、標的端末のキー入力を盗むキーロガーに感染させたりして、メールの内容を盗み見る。これによる、送金タイミングや社内の組織構造を知るのだ。

　ビジネスメール詐欺対策では、メールボックスを盗み見させないことが重要だ。キーロガー対策は、従来通りのマルウェア対策をしっかりと行うことだ。フィッシングサイトにだまされないためには、URLのレピュテーションを行うフィルタリングサービスを利用すべきだろう。そして、多額の資金を操作する可能性がある社員や経営者は、「メールログイン時の二要素認証利用」を徹底することだ。