お問い合わせ
ビジネスメール詐欺（Business Email Compromise, BEC）は、企業や組織に深刻な損害を与えるサイバー犯罪の一種として増加しています。
この詐欺の手口は、信頼される取引先や内部担当者を装ったメールを利用して、金銭や機密情報を騙し取るものです。本記事では、実際に発生したBEC攻撃の具体的な事例を詳しく紹介していきます。
目次
ビジネスメール詐欺について
ビジネスメール詐欺（BEC：Business Email Compromise）は、企業のメールアカウントなどを不正に利用し、金銭や機密情報を詐取するサイバー犯罪の一種です。
手口として、詐欺師は企業の役員や取引先になりすましてメールを送り、従業員を騙して不正な送金を行わせます。BECは従来のスパムメールやフィッシング詐欺とは異なり、ターゲットを絞った高度なテクニックを用いて被害者を増やしています。
ビジネスメール詐欺の事例8選
ビジネスメール詐欺の事件は世界各国で起こっています。実際に起きた事例を集めましたのでご紹介します。
1.日本航空株式会社（JAL）
- 被害額: 約2,400万円
- 被害時期: 2022年8月
- 被害機関: 日本航空株式会社（JAL）
JALの米国貨物事業所に、地上業務委託料の支払先口座の変更を伝えるメールが届きました。JALの担当者は、この変更された香港の銀行口座へ2回にわたり、計約2400万円を振り込んでしまいました。
- 被害額: 約3億6,000万円
- 被害時期: 2022年9月
- 被害機関: 日本航空株式会社（JAL）
JALは、旅客機のリース料について、支払先の海外金融会社の担当者を装った偽の請求書を受け取りました。請求書には、振込先が香港の銀行口座に変更されたと記載されており、JALの担当者は約3.6億円をその口座に振り込みました。数日後、全額が引き出され、回収不能となりました。
出典：読売新聞オンライン
2.Facebook・Google被害額: 1億2100万ドル
- 被害時期: 2013年から2015年
- 被害機関: FacebookとGoogle
詳細:2013年から2015年の間、リトアニア人のEvaldas Rimasauskasは偽の請求書を使用してFacebookとGoogleから合計1億2100万ドルを騙し取りました。
彼は両社が取引している台湾のハードウェア製造業者Quanta Computerを装い、偽の請求書を送付。これにより、正規の請求書と見せかけて、送金先の銀行口座を自身の管理する口座に指定しました。Rimasauskasは、偽のメールアドレスや企業ロゴを用いて巧妙に騙し、送金プロセスへ誤導しました。
3.Sefri-Cime（不動産開発会社）
- 被害額: 3800万ユーロ
- 被害時期: 2022年12月
- 被害機関: フランスの不動産開発会社Sefri-Cime
詳細: 2022年12月、フランスの不動産開発会社Sefri-Cimeは国際的な詐欺グループにより3800万ユーロの被害を受けました。
詐欺グループは偽の弁護士を装って会社のCFOに接触し、緊急の法的問題を理由に数百万ユーロの送金を要求。詐欺団は巧妙に信憑性を持たせ、偽の法的書類や緊急性を強調する手法でCFOを騙し、指定された銀行口座に送金させました。
4.トヨタ紡織株式会社
- 被害額: 3700万ドル
- 被害時期: 2019年
- 被害機関: トヨタ紡織株式会社
詳細: ハッカーはトヨタ紡織の財務部門の構造や業務フローを詳細に調査し、幹部の名前、役職、業務内容を把握。幹部を標的にしたフィッシングメールを送信しました。
これらのメールは、正規の取引先や社内の上層部を装い、信頼性を持たせた内容で構成されており、緊急の法的問題や重要な取引に関する指示により、すぐに対応しなければならないように見せかけました。
この結果、多額の資金がハッカーの指定する口座に送金され、トヨタ紡織は巨額の損失を被りました。
出典：日経XTECH
5.Pathé（映画会社）
- 被害額: 1900万ユーロ
- 被害時期: 2018年
- 被害機関: フランスの映画会社Pathé
詳細: 詐欺師は、PathéフランスのCEOを装い、PathéオランダのCEOであるDertje Meijerにメールを送り、カナダのKPMG社員への支払いを指示しました。取引が進行中であることを示す文書も添付されていて、文書にはフランスのCEOと家族株主の名前と署名が含まれるなど巧妙な準備がされていました。
PathéオランダCEOのMeijerが電話での相談を求めましたが、KPMGの基準に反するとして拒否されました。
その後も「コミュニケーションと開発」の名目で追加の支払い要求が続き、最終的にPathéオランダはPathéフランスから資金を引き出し、海外口座に支払いを行いました。最終的な支払いは3月27日に行われ、合計で約1,900万ユーロが支払われました。
6.Scoular Co.（穀物取引企業）
- 被害額: 1720万ドル
- 被害時期: 非公表
- 被害機関: アメリカのScoular Co.
詳細: FBIによれば、3件の送金は2014年6月に起こりました。これらの送金は、スクーラーのエルシーCEOからのものとされるEメールによって促されたが、いつものものとは異なるEメールアドレスから送信されていました。
6月26日の最初のメールは、マクマートリーに78万ドルを送金するよう指示し、マクマートリーは送金しました。翌日は700万ドル、その3日後には940万ドル送金するよう指示され、再び応じてしまいました。
7.Grand Rapids Public Schools(公立学校)
- 被害額: 280万ドル
- 被害時期: 非公表
- 被害機関: ミシガン州の公立学校
詳細: ミシガン州グランドラピッズ公立学校は、カリフォルニア州の夫婦による詐欺により280万ドルの被害を受けました。
夫婦は学校の福利厚生管理者のメールアカウントに不正アクセスし、学区と健康保険業者との月々の保険料支払いのやり取りを監視。その後、財務担当者に対し、送金情報を変更するよう依頼する偽メールを送信しました。
担当者がその指示に従い、夫婦が経営するカリフォルニアのネイルサロンの銀行口座に大金を送金。保険会社が紛失した資金について問い合わせたことで詐欺が発覚し、夫婦の犯行が明らかになりました。
出典：woodtv
8.Save the Children（NGO）
- 被害額: 100万ドル
- 被害時期: 2024年
- 被害機関: セーブ・ザ・チルドレン連盟（米国支部）
詳細: セーブ・ザ・チルドレン連盟の米国支部が詐欺師により100万ドルの被害を受けました。ハッカーは従業員のメールアカウントにアクセスし、偽の請求書や文書を送信しました。
パキスタンの医療センターのソーラーパネル費用として金が必要と偽り、組織を騙しました。送金が詐欺だと判明した時には、日本の銀行口座に振り込まれていましたが、保険により11万2000ドルを除く全額を回収できました。再度の攻撃もありましたが、9210ドルは回収されました。
ランサムウェア被害に繋がった事例
ビジネスメール詐欺はなりすましメールから騙されて被害に繋がりますが、なりすましメールはランサムウェア感染の主な手段の1つでもあります。攻撃者は、悪意のあるURLや添付ファイルを開かせることでランサムウェアを感染させることを狙っています。
なりすましメールに記載されているURLや添付ファイルを開いた際にランサムウェアに感染してしまう被害事例もご紹介いたします。
Norsk Hydro
- 被害額: 4,000万ドルから7,000万ドル
- 被害時期: 2019年3月
- 被害機関: Norsk Hydro（アルミニウム製造大手企業）
詳細: 2019年3月18日に、ノルウェーのアルミニウム製造大手であるNorsk Hydroがランサムウェア「LockerGoga」に感染しました。
この攻撃は、従業員がBEC（ビジネスメール詐欺）攻撃を受けてメール添付ファイルを開いたことによりランサムウェアに感染。
ランサムウェアは組織全体に拡散し、複数の工場の生産ラインが停止し、一部のシステムは手動操作に切り替えられました。攻撃により、会社はITシステムの復旧に数週間を要しました。
Norsk Hydroは身代金を支払わず、バックアップからのシステム復旧を選択しました。同社はサイバーリスク保険を活用して損害の一部を補填しましたが、最終的な保険金の支払い額は公開されていません。
出典：BBC
ビジネスメール詐欺にあったかもと思ったら
ビジネスメール詐欺にあった可能性がある場合は、以下のように対処しましょう。
ネットワークから遮断する
詐欺メールを開いてしまった場合は、ネットワークを遮断しましょう。攻撃者がウイルスを使って窃取した情報は、ネットワークを経由して送られます。そのため、ネットワークを遮断することで、被害を最小限に留めることができる可能性があります。
添付ファイル・URLを開かない
詐欺メールにファイル・URLが添付されていても開かないように注意しましょう。詐欺メールに添付されているファイルやURLを開くとマルウェアに感染し、デバイスがハッキングされる恐れがあります。
ウイルススキャンをかける
詐欺メールを開いてしまい、ウイルス感染したか不安な場合は、ウイルススキャンをかけましょう。ウイルススキャンをかけることで、ウイルスがデバイスに侵入したかチェックすることができます。ただし、全てのウイルスを検出できるわけではない点を留意しておきましょう。
アカウントのIDとパスワードを変える
アカウントのIDやパスワードを不正利用されるのを防ぐため、ビジネスメール詐欺に遭ったと思ったら、すぐに変更しましょう。パスワードを設定し直す際は、名前や生年月日などの個人情報や意味のある英単語をそのまま使用することは控え、他人から推測されにくいものにすることをおすすめします。
クレジットカード会社へ連絡する
クレジットカード情報を入力してしまった場合は、情報が漏えいし不正利用される恐れがあります。早急にクレジットカード会社に連絡を取りカードの利用を停止しましょう。万が一不正利用されたとしても、不正利用日から61日以内であれば、クレジットカード会社補償してくれる可能性があります。
サイバー犯罪相談窓口に相談する
詐欺メールの被害が発生しているか不安な場合は、警察相談専用の「サイバー事案に関する通報等のオンライン受付窓口」に相談することができます。
こちらではビジネスメール詐欺をはじめ、端末のハッキングやマルウェア感染などサイバー犯罪に対して通報や情報提供ができます。
サイバー犯罪に遭遇し、警察に相談したい場合に利用しましょう。
フォレンジック調査会社に依頼する
サイバー犯罪相談窓口に相談しても捜査まで時間がかかることがあるため、詐欺メールが原因の不正アクセスなどがすぐに止むとは限りません。
ビジネスメール詐欺被害の再発防止につなげるには、詐欺の原因を正確に把握して適切なセキュリティ対策を実行することが必要です。一方で、ビジネスメール詐欺を調査するにあたり、端末やネットワークを調べるには専門知識や高い調査技術が必要です。
フォレンジック調査会社であれば、偽のビジネスメールが送信された経緯や詐欺による情報漏えい被害などを正確に特定し、被害状況などを報告書にまとめて提出することも可能です。
フォレンジック調査とは、ビジネスメール詐欺をはじめとするデジタル犯罪やその他サイバー攻撃や社内不正といったセキュリティインシデントの解明・対応のために、デジタル端末内のデータを収集、分析、保全する行為です。
ビジネスメール詐欺にあった場合はメールアドレスやパスワードなどの情報漏洩も発生している可能性もあります。個人情報保護法の観点から個人情報漏洩時には報告が義務付けられており、情報漏えいの有無などを明確にするためにフォレンジック調査が必要になっていきます。
ビジネスメール詐欺の調査ならデジタルデータフォレンジック
ビジネスメール詐欺が発生した場合、どのような経路で、どのような情報が漏えいしたのか、被害の全容を正確に把握する必要があります。しかし、自力で調査を行うと、調査対象範囲が適切でなかったり、意図しない証拠データの消失が発生しやすく、不完全な結果になる恐れがあります。
このような事態を防ぎ、適切な調査によって原因究明を行うためにも、フォレンジック調査の専門家に相談することが重要です。
デジタルデータフォレンジック（DDF）によるフォレンジック調査では、証拠保全作業から専門の設備でのネットワークや端末の調査・解析、調査報告書の提出を行い、インシデントの解決を徹底サポートします。
電話またはメールでお問合せいただくと、状況のヒアリングと対応方法、お見積りを無料でご案内いたします。法人様の場合、ご相談から最短30分でWeb打合せも開催しておりますので、お気軽にご相談ください。
官公庁・上場企業・捜査機関等まで幅広い調査対応経験を持つ専門の担当とエンジニアが対応させていただきます。
＼累計3.2万件以上の相談実績！／
実際に被害を受け、DDFで調査を行った事例
実際にデジタルデータフォレンジック（DDF）でご相談を受け、調査した事例をご紹介いたします。
1.宿泊施設の予約情報管理システムに不正アクセス
発生状況
600軒以上の宿泊施設を運営する企業の宿泊予約情報管理システムが不正アクセスを受けた。攻撃者が宿泊施設のアカウントを悪用し、予約客へクレジットカード情報の入力を求めるフィッシングサイトへの誘導メールを送付した。
調査の実施
宿泊予約情報管理システムを使用しているPCがマルウェアに感染していないか、またはマルウェアの自動起動が設定されていないかを確認するため、フォレンジック調査を実施。
調査結果
2種類のマルウェアが検出されたが、これらはフィッシングサイトへ誘導するツールや感染を拡大させる悪質なマルウェアではなかったことが判明。
被害の可能性
もし予約客がフィッシングサイトと気づかずにクレジットカード情報を入力してしまった場合、クレジットカード情報が流出し、不正利用などさらなる被害に繋がる恐れがある。
2.なりすましメール被害を受け、約2億円を損失
発生状況
A社は取引先B社から振込先変更を依頼するメールを受け取り、約2億円を変更後の口座に振り込んだ。
その後、別の取引先C社からも同様の振込先変更依頼のメールが届いたが、C社に電話で確認すると、C社は口座変更のメールを送っていないことが判明した。
A社が受け取ったメールは、B社・C社になりすましたメールであり、B社に振り込んだ約2億円は攻撃者が用意した偽口座に振り込まれていたことが判明した。
調査の実施
A社のネットワーク内で使用しているPC約40台に対して、不正アクセス被害の痕跡やマルウェアなどの脅威が残存していないかを調べるため、フォレンジック調査を実施した。
調査結果
調査結果として、攻撃者は企業のネットワーク内からメールの認証情報を窃取し、メールアカウントを不正に同期して過去のメールやり取りを入手した後、B社の担当者になりすまして振込先変更メールを送付したと推測された。
さらに、メールアドレスとパスワード（またはパスワードのハッシュ値）10件がダークウェブ上に漏洩しており、メールに不正ログインできる状態であることが判明した。
「なりすましメール詐欺被害企業190社の実態調査」資料のダウンロードは：こちら
フォレンジックサービスの流れや料金については下記からご確認ください。
【初めての方へ】フォレンジックサービスについて詳しくご紹介
【サービスの流れ】どこまで無料？ 調査にかかる期間は？ サービスの流れをご紹介
【料金について】調査にかかる費用やお支払方法について
【会社概要】当社へのアクセス情報や機器のお預かりについて
多くのお客様にご利用いただいております
ビジネスメール詐欺に関して詳しく紹介している記事がこちらにございます。手口から対策まで専門家が徹底解説していますので、気になる方は合わせてお読みください。
まとめ
今回の記事では、ビジネスメール詐欺の被害事例についてまとめました。ビジネスメール詐欺の手口は人を騙すことに特化していて、被害が数多く生まれています。本記事の事例を複数知ることでビジネスメール詐欺の手口について知見が深まったのではないでしょうか。
ビジネスメール詐欺に騙されないためにはその人自身が詳しくなるのが一番です。システム的な対策も大事ですがしっかりとリテラシーを深めることで、疑える思考を構築していきましょう。
この記事を書いた人
デジタルデータフォレンジック
エンジニア
