BEC(ビーイーシー)とは | 意味や読み方など丁寧でわかりやすい用語解説

BEC（Business Email Compromise）とは、企業や組織の正規のメールアカウントを悪用したり、巧妙になりすましたりすることで、金銭や機密情報を詐取するサイバー攻撃の一種である。日本語では「ビジネスメール詐欺」と訳されることが多く、ターゲットをだまして不正な送金や情報開示を行わせることを目的とする。この攻撃は、ターゲット企業の役員や取引先、あるいは他の重要な関係者になりすますことから始まる。攻撃者は、メールの内容を本物らしく見せかけるために、標的となる企業の業務内容や組織構造、取引状況などを事前に詳細に調査することが一般的である。その上で、緊急性や機密性を強調し、正規の送金先とは異なる口座への送金を指示したり、企業の機密情報や従業員の個人情報を要求したりする。システムに対する直接的な侵入や破壊を伴わないため、従来のサイバー攻撃とは異なる性質を持つ。そのため、技術的なセキュリティ対策だけでは完全に防ぐことが難しい面がある。

BEC攻撃は多岐にわたる手口があるが、代表的なものとしていくつかのパターンが存在する。一つ目は「CEO詐欺」（別名「Whaling」）と呼ばれるもので、企業の最高経営責任者（CEO）やその他の経営層になりすまし、経理担当者などに緊急の送金を指示するパターンである。この際、外部の重要な取引やM&Aに関連する機密案件であると偽り、社内での確認を避けるよう指示することが多い。二つ目は「偽装請求書詐欺」である。これは、企業が通常取引のあるサプライヤーやベンダーになりすまし、請求書の振込口座情報を変更した旨を通知し、不正な口座へ送金させる手口である。既存の請求書を改ざんして送付したり、見た目が酷似した偽の請求書を送付したりする。

三つ目は「データ窃盗」であり、主に人事部門を狙う。従業員の個人情報や納税関連情報などを要求し、それらを詐取することで、後に身元情報盗用や詐欺に悪用する。四つ目は「弁護士詐欺」である。企業が係争中であると偽り、秘密裏に外部の弁護士や法律事務所になりすまして、金銭や機密情報を要求する手口である。この手口も、機密保持の必要性を強調し、正規のプロセスを迂回させようと試みる。

これらの攻撃は、単なるフィッシングメールとは異なり、非常に巧妙である点が特徴である。攻撃者は、標的とする企業の従業員が普段使用している正規のメールサービスと区別がつかないようなドメイン名を取得したり、乗っ取った正規のメールアカウントから直接メールを送信したりする。例えば、「example.com」を正規ドメインとする企業に対して、「examp1e.com」のような視覚的に区別しにくい類似ドメインを使用するケースや、実際に正規のメールアカウントがフィッシングやマルウェアによって乗っ取られ、そのアカウントから不正な指示が送られるケースもある。

攻撃のプロセスは、まず情報収集から始まる。攻撃者は企業のウェブサイト、SNS、公開されているニュース記事などを通じて、組織図、主要な担当者の役職、取引関係、支払いサイクルといった情報を丹念に収集する。次に、これらの情報を用いて、信頼性を高めるための「なりすまし」を行う。メールの内容は、ターゲットが普段受け取っているメールの形式や文体を模倣し、いかにも正規の業務連絡であるかのように見せかける。そして、緊急性や機密性を強調することで、受信者が冷静な判断を下す時間を与えず、指示に従わせようとする。

BECの被害は甚大であり、多額の金銭的損失が発生するだけでなく、企業の社会的信用を失墜させる原因ともなる。また、情報漏洩が発生した場合には、法的な責任を問われる可能性もある。そのため、企業はBECに対する多層的な対策を講じる必要がある。

具体的な対策としては、まず「人的対策」が極めて重要である。従業員全員に対して、BECに関するセキュリティ教育を徹底し、不審なメールの見分け方、特に緊急性や機密性を不自然に強調するメールへの警戒心を高める必要がある。また、支払い指示や振込先の変更といった重要な業務指示については、メールのみでの確認を避け、必ず電話や直接対面での口頭確認を義務付けるなど、複数段階での承認プロセスを導入することが効果的である。これは、特に経営層からの指示や、普段と異なる取引先からの連絡に対する重要な防御策となる。

次に「技術的対策」も不可欠である。メールセキュリティ製品を導入し、SPF (Sender Sender Policy Framework)、DKIM (DomainKeys Identified Mail)、DMARC (Domain-based Message Authentication, Reporting & Conformance) といったメール認証技術を適切に設定・運用することで、なりすましメールの受信を検知・拒否する。これにより、攻撃者が正規のドメインを偽装してメールを送信することを防ぐ効果が期待できる。さらに、多要素認証（MFA）を全てのメールアカウントに適用することで、仮にパスワードが漏洩した場合でも、不正ログインを防ぐことができる。メールゲートウェイにおけるスパムフィルタリングやマルウェア対策機能も強化し、不審なメールが従業員の受信トレイに届く前にブロックすることも重要である。不審なURLや添付ファイルが含まれていないか、送信元アドレスが正規のものと一致するかといった詳細なチェックを行う。

これらの対策は単独ではなく、組み合わせて実施することでより高い効果を発揮する。BECは人間の心理的な隙を突く社会工学的な攻撃であるため、最新のセキュリティ技術だけでなく、従業員のセキュリティ意識向上と厳格な業務プロセスの両輪で対策を進めることが、被害を未然に防ぐ上で最も重要となる。