BEC（ビジネスメール詐欺）をほかのメール攻撃と見分けるには
情報セキュリティマネジメント試験 2022年 サンプル問題 問13 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
BEC(Business E-mail Compromise)に該当するものはどれか。
- ア
巧妙なだましの手口を駆使し，取引先になりすまして偽の電子メールを送り，金銭をだまし取る。
- イ
送信元を攻撃対象の組織のメールアドレスに詐称し，多数の実在しないメールアドレスに一度に大量の電子メールを送り，攻撃対象の組織のメールアドレスを故意にブラックリストに登録させて，利用を阻害する。
- ウ
第三者からの電子メールが中継できるように設定されたメールサーバを，スパムメールの中継に悪用する。
- エ
誹謗中傷メールの送信元を攻撃対象の組織のメールアドレスに詐称し，組織の社会的な信用を大きく損なわせる。
会話形式の解説
講師今回はBEC、つまりビジネスメール詐欺に当たる手口を選ぶ問題です。どの選択肢にもメールの悪用が出てくるので、攻撃の目的が何かに注目してください。
受験者私は「なりすまし」という言葉で選ぼうとしたのですが、送信元を詐称する話がいくつもあって絞り込めませんでした。
講師そこが迷いやすいところです。BECは、取引先や経営者などになりすました偽メールで金銭をだまし取る詐欺です。決め手は、業務上の相手を装っていることと、狙いが金銭の詐取であることの二つです。
受験者それなら、取引先になりすまして偽メールを送り、金銭をだまし取るという選択肢がそのまま当てはまりますね。
講師そのとおりです。定義そのものの説明になっています。実際のBECでは、振込先口座の変更を指示したり、架空の送金取引を持ちかけたりして、お金をだまし取ります。
受験者組織のアドレスを詐称して大量にメールを送り、ブラックリストに登録させる選択肢も、なりすましを使っていて紛らわしく感じました。
講師詐称は使っていますが、狙いは標的の組織にメールを使わせなくする利用妨害です。お金をだまし取るものではないので、BECには当たりません。
受験者誹謗中傷メールを送って組織の信用を落とす選択肢も、同じように考えればよいですか。
講師はい。なりすましは含まれますが、目的は社会的な信用を失わせることです。金銭の詐取ではないので、これも違います。
受験者メールサーバをスパムの中継に悪用する選択肢は、なりすましとは少し違う話に見えます。
講師よく気づきました。第三者のメールも中継できる設定のサーバ、いわゆる第三者中継やオープンリレーを悪用する行為です。サーバ設定の不備を突いた不正利用で、なりすましによる金銭詐取ではありません。
受験者まとめると、詐称しているかどうかではなく、業務の相手を装って金銭を狙っているかどうかでBECを見分ける、ということですね。
講師そうです。もう一つ補足すると、BECは人の心理的な隙に付け込むソーシャルエンジニアリング的な攻撃なので、技術的な対策だけでは防ぎにくい性質があります。一般に推奨される対策としては、手口を社内に周知することに加えて、振込先の変更などを依頼されたら、あらかじめ把握している電話番号など、メールとは別の手段で相手に確認する運用があります。
まとめ
BEC（ビジネスメール詐欺）は、取引先や経営者などになりすました偽メールで金銭をだまし取る攻撃で、振込先口座の変更指示や架空の送金取引が代表的な手口です。この問題では、取引先になりすまして金銭をだまし取る手口が正解です。ブラックリスト登録による利用妨害、オープンリレーの悪用によるスパム中継、誹謗中傷による信用失墜にもメールの悪用や詐称が出てきますが、どれも金銭の詐取を目的としていません。「詐称している＝BEC」ではなく、目的が金銭の詐取かどうかで見分けるのがポイントです。
解答・解説
正解はアです
この問題のテーマ
メールを悪用した攻撃のうち、BEC（ビジネスメール詐欺）がどれに当たるかを問う問題です。BECの定義を、ほかのメール悪用の手口と区別できるかがポイントです。
解き方の考え方
BECは、取引先や経営者などになりすました偽メールで金銭をだまし取る詐欺です。このため、各選択肢について「目的が金銭の詐取かどうか」「業務上の相手を装っているかどうか」を確かめます。なりすましやメールの悪用はどの選択肢にも出てきますが、金銭被害を狙っているのは1つだけなので、そこが判断の決め手になります。
選択肢ごとの解説
- ○ア 巧妙なだましの手口を駆使し，取引先になりすまして偽の電子メールを送り，金銭をだまし取る。アは、取引先になりすました偽メールで金銭をだまし取る手口を説明しており、BECの定義そのものです。実際のBECでも、振込先口座を変更させる指示や架空の送金取引によって、お金をだまし取ります。
- ×イ 送信元を攻撃対象の組織のメールアドレスに詐称し，多数の実在しないメールアドレスに一度に大量の電子メールを送り，攻撃対象の組織のメールアドレスを故意にブラックリストに登録させて，利用を阻害する。イは、送信元を詐称して大量のメールを送り、標的の組織のアドレスをブラックリストに登録させる手口です。狙いはメールを使えなくする利用妨害で、金銭をだまし取るものではないため、BECには当たりません。
- ×ウ 第三者からの電子メールが中継できるように設定されたメールサーバを，スパムメールの中継に悪用する。ウは、第三者のメールも中継できる設定になっているメールサーバ（第三者中継、オープンリレー）を、スパムの送信に悪用する行為です。サーバ設定の不備を突いた不正利用であり、なりすましによる金銭詐取ではありません。
- ×エ 誹謗中傷メールの送信元を攻撃対象の組織のメールアドレスに詐称し，組織の社会的な信用を大きく損なわせる。エは、送信元を詐称して誹謗中傷メールを送り、組織の信用を落とす手口です。なりすましは含まれますが、目的は信用を失わせることで金銭の詐取ではないため、BECとは異なります。
補足
選択肢のイ・ウ・エにもなりすましやメールの悪用が出てくるため、「詐称している＝BEC」と考えると迷ってしまいます。BECの対策では、手口を社内に周知することに加えて、振込先の変更などの依頼を受けたときに、メールとは別の手段（あらかじめ把握している電話番号など）で相手に確認する運用が重視されます。
POINT
- BECはビジネスメール詐欺のことで、取引先や経営者などになりすました偽メールで金銭をだまし取る攻撃です。
- 代表的な手口は、振込先口座の変更を指示するものや、架空の送金取引を持ちかけるものです。
- BECは人の心理的な隙に付け込むソーシャルエンジニアリング的な攻撃で、技術的な対策だけでは防ぎにくい性質があります。
- メールアドレスの詐称だけではBECとは判断できず、金銭の詐取を目的としているかどうかで見分けます。