BEC（ビジネスメール詐欺）を他のメール攻撃と見分けるコツ
情報セキュリティマネジメント試験 令和元年度秋期 午前 問1 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
BEC(Business E-mail Compromise)に該当するものはどれか。
- ア
巧妙なだましの手口を駆使し，取引先になりすまして偽の電子メールを送り，金銭をだまし取る。
- イ
送信元を攻撃対象の組織のメールアドレスに詐称し，多数の実在しないメールアドレスに一度に大量の電子メールを送り，攻撃対象の組織のメールアドレスを故意にブラックリストに登録させて，利用を阻害する。
- ウ
第三者からの電子メールが中継できるように設定されたメールサーバを，スパムメールの中継に悪用する。
- エ
誹謗中傷メールの送信元を攻撃対象の組織のメールアドレスに詐称し，組織の社会的な信用を大きく損なわせる。
会話形式の解説
講師今回はBECがテーマです。日本語では「ビジネスメール詐欺」と訳されます。選択肢にはメールを悪用する攻撃がいくつか並んでいるので、攻撃の目的は何か、業務のやり取りを装っているか、の2点に注目して読んでみましょう。
受験者選択肢のうち3つに「なりすまし」や「送信元の詐称」が出てきて、どれもBECに見えてしまいました。
講師そこがこの問題の引っかけです。BECは、取引先や経営者などになりすました偽のメールで金銭をだまし取る手口です。なりすましは手段の一つにすぎません。決め手になるのは「業務を装って金銭をだまし取る」という点です。
受験者それなら、取引先になりすまして偽メールを送り、金銭をだまし取るという選択肢が当てはまりますね。
講師そのとおりです。実際のBECでは、振込先口座が変わったと装う依頼や、架空の送金取引がよく使われます。業務のやり取りに見せかけて人をだますので、ソーシャルエンジニアリング、つまり人の心理的な隙を突く手口の一種ともいえます。
受験者組織のアドレスを送信元に偽って大量に送り、ブラックリストに登録させる選択肢はどうでしょう。これも送信元を詐称していますが。
講師この攻撃の狙いは、その組織がメールを使えないようにすることです。金銭の詐取ではありません。大量送信で業務を妨げるので、DoS攻撃に近い性質の攻撃です。
受験者誹謗中傷メールの送信元を偽る選択肢も、目的が違うということですか。
講師はい。目的は組織の評判を傷つけることで、業務を装って金銭をだまし取るものではありません。なのでBECには当たりません。
受験者残りの、第三者からのメールを中継できるサーバをスパムの中継に使う選択肢は、そもそもなりすましとも違う気がします。
講師よく気づきました。誰のメールでも中継してしまう設定のサーバをオープンリレーと呼びます。この選択肢は、サーバの設定の不備を技術的に悪用するものです。取引関係を装った詐欺ではありません。
受験者整理すると、なりすましがあるかどうかではなく、目的が金銭の詐取で、しかも業務を装っているかで判断すればよいのですね。
講師そうです。「なりすまし＝BEC」と覚えていると引っかかりやすいので注意しましょう。対策も押さえておくと役立ちます。SPF・DKIM・DMARCといった送信ドメイン認証に加えて、運用面の対策も有効です。たとえば振込先の変更依頼が来たら、すでに分かっている電話番号に連絡して本人に確認します。高額の振込は複数人で承認する仕組みにします。人をだます手口なので、社内に手口を周知することも欠かせません。
まとめ
BEC（ビジネスメール詐欺）は、取引先や経営者などになりすました偽メールで金銭をだまし取る手口です。振込先口座の変更を装う依頼や、架空の送金依頼が典型的な例です。送信元の詐称はほかの攻撃にも出てくるため、攻撃の目的が金銭の詐取かどうかと、業務を装っているかどうかで見分けます。ブラックリスト登録を狙う大量送信は業務の妨害、誹謗中傷メールは評判を傷つける攻撃、オープンリレーの悪用は設定不備の技術的な悪用であり、どれもBECではありません。対策には、送信ドメイン認証に加えて、既知の連絡先での本人確認や複数人での承認といった運用面の対策が有効です。
解答・解説
正解はアです
この問題のテーマ
BEC（ビジネスメール詐欺）の意味を理解し、メールを悪用するほかの攻撃と見分けられるかを問う問題です。
解き方の考え方
BECは「ビジネスメール詐欺」と訳されます。取引先や経営者などになりすました偽のメールで、金銭をだまし取る手口です。選択肢を見るときは、攻撃の目的が金銭の詐取かどうかと、取引などの業務を装っているかどうかの2点に注目します。両方に当てはまるのは、取引先になりすまして金銭をだまし取るアだけです。
選択肢ごとの解説
- ○ア 巧妙なだましの手口を駆使し，取引先になりすまして偽の電子メールを送り，金銭をだまし取る。取引先になりすまして偽のメールを送り、金銭をだまし取るという説明は、BECの定義と一致します。実際のBECでは、振込先口座の変更を装う依頼や架空の送金取引がよく使われます。業務のやり取りに見せかけて人をだます手口なので、ソーシャルエンジニアリングの一種ともいえます。
- ×イ 送信元を攻撃対象の組織のメールアドレスに詐称し，多数の実在しないメールアドレスに一度に大量の電子メールを送り，攻撃対象の組織のメールアドレスを故意にブラックリストに登録させて，利用を阻害する。送信元を攻撃対象の組織のアドレスに偽って大量にメールを送り、そのアドレスをブラックリストに登録させるという説明です。狙いは組織がメールを使えないようにすることで、金銭の詐取ではありません。大量送信で業務を妨げる点で、DoS攻撃に近い性質の攻撃です。
- ×ウ 第三者からの電子メールが中継できるように設定されたメールサーバを，スパムメールの中継に悪用する。第三者からのメールを中継できる設定のメールサーバを、スパムメールの中継に悪用するという説明です。このようなサーバはオープンリレーと呼ばれます。サーバの設定の不備を技術的に悪用するもので、取引関係を装った詐欺ではありません。
- ×エ 誹謗中傷メールの送信元を攻撃対象の組織のメールアドレスに詐称し，組織の社会的な信用を大きく損なわせる。送信元を偽って誹謗中傷メールを送り、組織の信用を落とすという説明です。目的は評判を傷つけることで、業務を装って金銭をだまし取るものではありません。そのためBECには当たりません。
補足
送信元の詐称は、イやエにも出てきます。そのため「なりすまし＝BEC」と覚えていると引っかかりやすくなります。決め手になるのは、取引などの業務を装って金銭をだまし取るかどうかです。対策としては、SPF・DKIM・DMARCなどの送信ドメイン認証に加えて、運用面の対策も有効です。たとえば、振込先の変更依頼が来たら、すでに分かっている電話番号に連絡して本人に確認します。また、高額の振込は複数人で承認する仕組みにします。
POINT
- BECはビジネスメール詐欺のことで、取引先や経営者などになりすました偽メールで金銭をだまし取る手口です。
- 典型的な例は、振込先口座の変更を装う依頼や架空の送金依頼です。
- メールを使った攻撃を見分けるときは、目的（金銭の詐取、業務の妨害、評判を傷つけることなど）と、業務を装っているかどうかに注目します。
- 人の心理的な隙を突く詐欺なので、技術的な対策に加えて、手口を周知したり、業務ルールで確認したりすることも欠かせません。