ビジネスメール詐欺（BEC）とは？被害事例や詐欺に遭った際の対処法と防止策を解説

ビジネスメール詐欺とは、取引先や経営者層などを装ったメールを送り、金銭を騙し取るサイバー攻撃のことです。サイバー攻撃者は、振込先の変更や緊急性を訴え言葉巧みにターゲットを誘導します。被害が高額なものの一つで、騙されれば多くのお金を騙し取られるでしょう。

本記事では、ビジネスメール詐欺の概要や被害事例、被害に遭った際の対処法と防止策について詳しく解説します。ビジネスメール詐欺について知りたい方、被害を防ぎたい方は、ぜひ参考にしてください。

ビジネスメール詐欺（BEC）とは

ビジネスメール詐欺（BEC）とは、企業間取引などを装ったメールを送り不正な送金を促すサイバー攻撃のことです。ビジネスメール詐欺には以下の特徴があり、攻撃者は取引先や経営者などになりすまして、金銭を振り込ませます。

• 電子メールの傍受やSNSなどでの情報収集を行い、あたかも関係者のようなメールを送る
• 送信元アドレスが実在する企業や個人に類似している
• メールの文面が正当な取引を装っている
• 緊急性や秘密性を強調して、ターゲットにプレッシャーをかけ送金を急かす

ビジネスメール詐欺は、アメリカの連邦捜査局（FBI）が2015年に情報公開をして広く知られるようになりました。

ここからは、ビジネスメール詐欺の発生状況や多発する理由について解説します。

ビジネスメール詐欺の発生状況

ビジネスメール詐欺は、高額な被害をもたらすサイバー攻撃の一つで、被害は年々増加しています。FBIのインターネット犯罪苦情センター（IC3）が公開した「2023年IC3年次報告書」によれば、ビジネスメール詐欺は被害額が2番目に高額な犯罪です。年間の被害件数は21,489件、被害総額が29億ドルに達しました。
参照：2023 INTERNET CRIME REPORT ｜IC3

また、以下は情報処理推進機構（IPA）が公開した「情報セキュリティ10大脅威」の結果です。

出典：情報セキュリティ10大脅威 2024｜IPA

上記によれば、社会的に影響が大きかったと考えられる情報セキュリティにおける事案として、ビジネスメール詐欺は第8位です。情報セキュリティ10大脅威に7年連続7回目の選出をされるほどの被害を与えています。

ビジネスメール詐欺が多発する理由

ビジネスメール詐欺が多発する理由は、ビジネスにおける高頻度のメール活用です。

新型コロナウイルス感染症などの影響で、テレビ会議やチャットなど新たなコミュニケーション手段が生まれています。ただ、一般社団法人日本ビジネスメール協会が調査・発表した「ビジネスメール実態調査2024」において、メールアドレスを保有している人が仕事上で活用するコミュニケーション手段の第1位はメールでした。
使用率は98.6%で、1日当たりの平均送信は12.27通、受信は47.83通です。さまざまなコミュニケーション手段がある現代でも、ビジネスではメールを活用したコミュニケーションが頻繁に行われており、サイバー攻撃者の標的になっています。
参照：ビジネスメール実態調査2024｜一般社団法人日本ビジネスメール協会

ビジネスメール詐欺の主な手口

続いて、ビジネスメール詐欺の主な手口を解説します。

取引先に偽装

取引先に偽装して「振込先の口座が変わった」「以前送った請求書に誤りがあった」などの口実で、支払いを要求します。とくに、海外との取引を行っている企業で、振込先口座の変更を指示する詐欺被害があったことが多く報告されています。攻撃者は、あらかじめ調べた情報を基に取引先のメールアドレスとよく似たアドレスを活用するため、注意しましょう。

経営者層などへのなりすまし

企業の経営者層を装い「緊急で送金して欲しい」などの口実で送金を促すケースもあります。攻撃者は事前に不正アクセスを行い、経営者層の情報を入手して攻撃を行います。

経営者層からの連絡であれば、従業員は警戒心が薄れやすく、早急な対応を求められ正常な判断がつかなくなる可能性があるでしょう。「機密扱い」「極秘事項」などの文言も用いて、他の従業員に相談させないようにする手口も多数見受けられます。

権威ある第三者へのなりすまし

取引先や社内の人間だけでなく、権威ある第三者へのなりすましで送金を要求する手口も存在します。具体的には、顧問弁護士や税理士、会計士などを語るケースがあります。経営者層になりすます手口と同様、緊急性や機密性を強調する傾向があるため、注意が必要です。

盗んだメールアカウントの悪用

多くのビジネスメール詐欺は、取引先や経営者層のメールアドレスに似せたものを用意します。ただ、中には正規のアカウントをハッキングにより盗み、ビジネスメール詐欺を行う場合もあります。本物のメールアドレスを活用されると、詐欺と見破るのが困難で、被害に遭う企業が少なくありません。

ビジネスメール詐欺の被害事例

続いて、ビジネスメール詐欺に関する実際の被害事例について解説します。

ウィルソン・ラーニング ワールドワイド株式会社

ウィルソン・ラーニング ワールドワイドは、2022年11月にビジネスメール詐欺に遭ったことを公表しました。子会社2社宛に支払い要求の詐欺メールが届き、計39,166.68ドルの被害を受けました。
参照：当社子会社における資金流出事案の発生並びに特別損失の計上に関するお知らせ ｜ウィルソン・ラーニング ワールドワイド株式会社

日本航空株式会社

日本航空も、2022年に被害額約3.8億円のビジネスメール詐欺に遭っています。同年8月に、地上業務委託料の支払先口座変更を伝えるメールで約2,400万円、9月に旅客機のリース料の支払先に関する変更のメールで約3.6億円騙し取られました。専門家の見解では、日本航空もしくは取引先のパソコンをウイルス感染させてメールを盗み見たか、メールアカウントを乗っ取った可能性があるとしています。
参照：ＪＡＬ３．８億円詐欺被害　ビジネスメールに割り込み偽請求【サイバー護身術】｜読売新聞オンライン

トヨタ紡織株式会社

トヨタ紡織も2019年9月6日に、虚偽の指示に基づき資金を流出させたと発表しています。被害額が高額で、ベルギーにある会社で最大40億円の詐欺被害に遭いました。
参照：トヨタ紡織が欧州で最大40億円の詐欺被害、「虚偽の指示で資金流出」｜日経クロステック

Facebook・Google

グローバル企業であるFacebook・Googleも、ビジネスメール詐欺の被害に遭っています。Evaldas Rimasauskas氏が、両社の取引企業であるQuanta Computer社を装い、2013年から2015年の間に計1億2,100万ドルを騙し取りました。
参照：リトアニア人、グーグル、フェイスブックから1億ドルを盗んだ罪を認める｜BleepingComputer

Sefri-Cime

弁護士を装い、法的な問題を理由に不正送金を促した事例も存在します。フランスの不動産会社であるSefri-Cimeは、国際的な詐欺グループにより3,800万ユーロを騙し取られました。詐欺グループは、信憑性を高めるために偽の法的書類を準備するとともに、緊急性をアピールして送金を促しています。
参照：ユーロポールは、数日で€38Mを盗んだ「CEO詐欺」ギャングを逮捕｜BleepingComputer

Pathé

フランスの映画会社であるPathéは、CEOを装ったビジネスメール詐欺で1,920万ユーロを騙し取られました。具体的には、詐欺師がPathéフランスのCEOを装い、PathéオランダのCEOにコンサルティング会社KPMG社員への支払いを要求しました。PathéオランダのCEOは電話での相談を依頼しましたが、KPMGのルールに反するとして拒否され、被害につながっています。
参照：Pathé Nederlandの「CEO詐欺」による1920万ユーロの損失の詳細が明らかに｜Celluloid Junkie

ビジネスメール詐欺の被害に遭った際の対処法

続いて、ビジネスメール詐欺の被害に遭った際の対処法を解説します。

送金のキャンセル

送金後にビジネスメール詐欺だと気付いた場合には、即時送金のキャンセルを行いましょう。ただちに金融機関への連絡を行い、状況の説明と依頼が重要です。素早く対応すれば、被害を抑制できる可能性があります。

状況の把握と記録、証拠確保

被害に遭った場合は、状況を把握して経緯を時系列で記録しましょう。また、メールや送信記録、通信記録を証拠として確保します。記録や証拠の確保は、捜査や法的な対応で役立ちます。

ウイルスチェックとパスワードの変更

ウイルスチェックも欠かせません。ビジネスメール詐欺を行うための情報収集やアカウントの乗っ取りを目的に、サイバー攻撃者がターゲットのデバイスをマルウェア感染させているケースがあります。

マルウェアに感染している場合、放置しておけばネットワークを介して他のコンピューターに感染が拡大する恐れがあります。ウイルスチェックで脅威が検出されたら、迅速に駆除しましょう。また、メールなどのパスワードも変更します。パスワード変更により、アカウントが乗っ取られていても悪用を防止できる可能性が高まります。

社内外の関係者に連絡

ビジネスメール詐欺に遭った場合には、社内外の関係者に連絡しましょう。社内で情報を共有すれば、被害の拡大を抑えられます。また、取引先や関係者への連絡により、信頼関係を壊さず、詐欺の情報収集ができる場合もあります。連絡しにくいと感じる方もいるかもしれませんが、迅速な行動が重要です。

原因の調査

ビジネスメール詐欺の原因調査を行えば、再発の防止策を講じられます。不審なサイトへのアクセスや身に覚えのないメールに添付されたファイルダウンロードなど、従業員が危険な行為をしていないかや詐欺の手口など、詳細な状況分析を行いましょう。IPA（独立行政法人情報処理推進機構）や専門家に相談をしながら進めると、効果的な状況分析や対策の立案が可能です。

警察への通報・相談

被害に遭った場合には、警察への通報・相談も求められます。可能な限り早く被害届を出すとともに、警察に調査を依頼しましょう。警察に通報する際に、メールや送金記録などの証拠を持参するとスムーズに対応が進みます。

ビジネスメール詐欺の防止策

最後に、ビジネスメール詐欺の防止策を紹介します。

メール以外のコミュニケーション手段を用いた確認

メール以外のコミュニケーション手段を用いた確認を行うことで、ビジネスメール詐欺の被害に遭うリスクを減らせます。普段とは異なるものや違和感があるメールを受信した場合には、電話やチャットなどを活用して、確認を行いましょう。連絡をする際は、名刺などに記載された信憑性の高い情報を基に行うことが重要です。

不審なファイルダウンロードやリンクのクリックを避ける

不審なファイルダウンロードやリンクのクリックは避けましょう。メールやSNS上などのファイル・リンクが原因で、マルウェアやウイルスに感染するリスクがあります。

マルウェアに感染すれば、不正アクセスや情報漏洩の原因となり、ビジネスメール詐欺で活用されます。身に覚えのないメールを受信した場合は、後日間違って開封しないように即時削除すると良いでしょう。

セキュリティ対策ツールの導入

セキュリティ対策ツールの導入も、ビジネスメール詐欺の被害防止に効果的です。例えば、不審なメールをチェックして自動的にブロックする機能が実装されたツールを導入すれば、メールの安全性を高められます。また、ビジネスメール詐欺に限らず多くのサイバー攻撃対策に効果的です。

定期的な従業員教育の実施

セキュリティやサイバー攻撃に関する、定期的な従業員教育の実施も有効です。近年のサイバー攻撃は高度化しており、セキュリティ対策ツールだけで全て防ぎきることは困難です。従業員のリテラシーを高めることで、ビジネスメール詐欺の被害に遭うリスクを減らせるでしょう。

情報共有の徹底

情報共有の徹底も重要です。例えば、送金を行う前に独自で判断せず、上司などと共有するルールを定めておけば、ビジネスメール詐欺に遭う確率を下げられるでしょう。複数人での判断により、冷静な対応が可能になります。また、被害の共有は再発防止につながります。

まとめ

ビジネスメール詐欺とは、企業間取引などを装ったメールを送り不正な送金を促すサイバー攻撃のことです。取引先や経営者になりすまして、振込先の変更や緊急性を訴えターゲットを騙します。

IC3の発表によれば、ビジネスメール詐欺は2番目に高額な被害を引き起こすサイバー攻撃です。被害に遭わないためには、メール以外のコミュニケーション手段を活用した確認やセキュリティ対策ツールの導入、情報共有の徹底が重要です。

また、ビジネスメール詐欺のメールを受信した経験がある場合、メールアドレスが漏洩して、サイバー攻撃者に知られている恐れがあります。心配な方は、ダークウェブアイを活用して、漏洩状況を無料で確認しましょう。