ビジネスメール詐欺（BEC）攻撃が急増している。被害者の大半は、アカウントを保護するための多要素認証（MFA）を使用していない組織の従業員だという。
提供：Getty/LaylaBird
BEC攻撃は、サイバー犯罪の中でも最も実入りのいい部類に入る。米連邦捜査局（FBI）によると、被害総額は430億ドル（約6兆2000億円）を超え、177カ国で攻撃が報告されている。
BEC攻撃は、サイバー犯罪者が比較的簡単に行える。メールアカウントと少しばかりの忍耐力さえあれば、被害者をだまして、送金させることができるからだ。これは通常、上司や同僚を装って送金を指示するメールが手口として使われる。重要な取引を失わないよう、迅速に振り込みを依頼するもので、たいてい大きな金額だ。
より巧妙なBEC攻撃の場合、社内のアカウントに侵入し、正規のメールアドレスを使って、送金を依頼する。
また、犯罪者が長期にわたって受信箱を監視し、実際に取引が行われるタイミングを狙って、やり取りに割り込み、犯罪者の口座に支払いを誘導する場合もある。
このようにして利益を得られることから、BEC攻撃を仕掛ける犯罪者は増えており、企業が被害に遭っている。サイバーセキュリティ企業Arctic Wolf Labsのアナリストによると、同社が対応したBEC攻撃の件数は、1〜3月から4〜6月の間に倍増し、調査したインシデントの3分の1以上を占めたという。
そして、多くの被害者の間に共通項があることがわかった。それは、BEC攻撃の被害に遭った組織の80%がMFAを導入していなかったという点だ。
MFAは、メールアカウントやクラウドアプリケーションにセキュリティレイヤーを追加できる。アカウントにログインしているのが正当なユーザーであることをユーザー自身に確認させるため、攻撃者が正しいユーザー名とパスワードを持っていても、不正な侵入を防ぐことができる。
サイバーセキュリティ機関が幾度となく、MFAの導入を推奨しているにもかかわらず、未だに怠っている組織があるのはなぜだろう。
Arctic Wolf Labsの脅威インテリジェンスリサーチマネージャーのAdrian Korn氏は、米ZDNetに対して、次のように説明した。「組織が中断することなく業務を継続しながらMFAを導入するには、慎重な計画と調整が必要だ。また、ユーザーにはMFAシステムの使用方法の教育が必要なため、組織によっては困難な場合がある」
しかし、こうした難しさはあるものの、すべてのユーザーアカウントにMFAを適用することは、サイバー攻撃から従業員とネットワークを守る上で最も重要なことの1つだ。
一方でMFAはサイバー攻撃を防ぐ上で役立つが、完璧というわけではなく、確固とした悪意を持つ犯罪者は回避する方法を見つけ出している。
BEC攻撃は、ソーシャルエンジニアリングを使ってユーザーを欺き、正しいことをしていると思わせる。そのため組織は、正当なアカウントから送信されたメールでも不審な点がないか見極められるように、従業員を教育することが重要だという。
この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。
