Sky cloud は、FBI が受信したことを報告しました 21,832 BEC の苦情、推定損失額の合計は ２０２２年の１７４億４０００万ドル 去年。 ビジネス メール侵害 (BEC) は世界中で発生しており、この犯罪の増加する統計は憂慮すべきものです。 BEC は、ハッカーが実際の企業の電子メール アカウントに侵入し、それを使用して受信者をだましてハッカーに役立つことをさせるときに発生します。 ほとんどの BEC 攻撃では、攻撃者は高官または信頼できるベンダーになりすまして、本物そっくりの電子メールを送信します。 電子メールは、送金、機密情報の提供、マルウェアが含まれるファイルのダウンロードなどの操作を受信者に要求します。 残念ながら、これらの電子メールは説得力があり洗練されているように見え、その結果、個人や企業が多額の損失を被る可能性があります。 したがって、すべての企業は、強力な電子メール セキュリティ対策またはツールを導入して、BEC 攻撃または侵害を阻止する必要があります。
これを行う手段には、従業員がフィッシング詐欺を見つけて回避できるように、XNUMX 要素認証、電子メールの暗号化、およびトレーニング プログラムを使用することが含まれます。
ビジネスメール侵害について
ビジネス メール侵害 (BEC) の目的は、電子メールを介して正当な企業または組織になりすますことにより、個人またはグループの個人情報または財源にアクセスすることです。 BEC 攻撃では、ハッカーは通常、会社の重役、サプライヤー、クライアントなどの信頼できる人物または団体を装った詐欺メールを送信します。
攻撃者はさまざまな戦術を使用して、送金、機密情報の開示、悪意のあるリンクや添付ファイルのクリックなどの特定のアクションを受信者に実行させる可能性があります。 電子メールは、正当に見えるように慎重に作成されている可能性があり、ソーシャル エンジニアリング技術を使用して人間の脆弱性を悪用することさえあります。
BEC 攻撃は、洗練されたソーシャル エンジニアリング手法を使用して、従業員をだまして電子メールが本物であると思わせることが多いため、発見するのが困難です。 BEC 攻撃の一般的なバリエーションには、請求書詐欺、給与計算の流用、CEO 詐欺などがあります。 したがって、企業は、BEC 攻撃から身を守るために、XNUMX 要素認証や電子メール フィルタリングなどの強力な電子メール セキュリティ対策を使用する必要があります。 また、従業員にフィッシングやソーシャル エンジニアリング攻撃のリスクについても教える必要があります。 さらに、企業は、機密情報または金融取引の要求の信頼性を検証するためのポリシーと手順を整備する必要があります。
BEC はどのように行われますか?
BEC 攻撃は、技術的な脆弱性ではなく、ソーシャル エンジニアリングの戦術や人的エラーに依存することが多いため、高度に洗練されたものであり、検出が困難な場合があります。 BEC 攻撃から保護するには、組織は多要素認証などの強力なセキュリティ プロトコルを実装するとともに、従業員が BEC 攻撃を認識して回避できるようにトレーニングと意識向上プログラムを提供する必要があります。 ビジネス メール詐欺 (BEC) は、詐欺メールを使用して組織内の個人をだまし、攻撃者に利益をもたらすアクションを実行させるサイバー犯罪の一種です。 BEC 攻撃には通常、次の手順が含まれます。
＃1。 偵察
攻撃者は、通常はソーシャル エンジニアリングの戦術を通じて標的の組織について調査を行い、組織内での主要な個人とその役割を特定します。
＃2。 なりすまし
攻撃者は、組織内の高官、サプライヤー、ベンダーなど、信頼できるソースから送信されたように見える詐欺メールを作成します。 電子メールは正当に見えるように設計されており、ターゲットの名前、役職、その他の関連情報などの詳細が含まれている場合があります。
＃3。 フィッシング
攻撃者は、組織内の XNUMX 人または複数の個人に不正な電子メールを送信し、通常、悪意のあるリンクをクリックする、特定のアカウントに資金を送金する、機密情報を提供するなどのタスクを実行するよう要求します。
＃4。 搾取
標的が詐欺に引っかかった場合、標的は無意識のうちに、攻撃を実行するために必要な情報またはアクセスを攻撃者に提供します。 たとえば、攻撃者が電信送金を要求した場合、ターゲットは銀行の詳細やその他の機密情報を攻撃者に提供する可能性があり、これを使用して資金を攻撃者のアカウントにリダイレクトできます。
BEC の主な目標は何ですか?
ビジネス メール詐欺 (BEC) の主な目的は、組織内の個人をだまして、攻撃者に利益をもたらすアクションを実行させることです。 通常、攻撃の最終的な目的は金銭的利益ですが、攻撃者は機密情報を盗んだり、重要なシステムにアクセスしたりすることにも関心がある場合があります。
なりすましメールなどのソーシャル エンジニアリング手法は、BEC 攻撃でよく使用され、従業員に正当に見えるが実際には攻撃者を助けるようなことをさせます。 たとえば、攻撃者は、特定のアカウントへの電信送金を要求する、組織内の高位の幹部からのように見える電子メールを送信する可能性があります。 従業員が詐欺に引っかかった場合、無意識のうちに攻撃者のアカウントに資金を送金し、組織の経済的損失につながる可能性があります。
BEC 攻撃は、攻撃者のアカウントに多額の送金が行われる可能性があるため、攻撃者に大金をもたらす可能性があります。 また、技術的な欠陥ではなく、ソーシャル エンジニアリング手法や人的ミスを利用することが多いため、攻撃を発見するのが難しい場合もあります。 このため、組織は、従業員が BEC 攻撃を認識して回避できるように、強力なセキュリティ プロトコルとトレーニングおよび意識向上プログラムを用意することが重要です。
BECの種類は何ですか?
ビジネス メール侵害 (BEC) 攻撃にはいくつかの種類があり、それぞれに固有の特徴と実行方法があります。 以下は、BEC 攻撃の最も一般的なタイプの一部です。
＃1。 社長詐欺
このタイプの攻撃では、攻撃者は会社の最高幹部 (CEO や CFO など) になりすまして、従業員にメールを送信して、特定の口座にお金を移動するなどの操作を依頼します。
＃2。 請求書詐欺
この攻撃では、攻撃者はサプライヤーまたはベンダーになりすまして、未払いの請求書の支払いを求める電子メールを従業員に送信します。 電子メールには、不正な請求書や更新された支払い情報の要求が含まれている可能性があります。
＃3。 アカウント侵害
このタイプの攻撃では、攻撃者は従業員の電子メール アカウントに侵入し、それを使用して同じ会社の他の従業員に偽の電子メールを送信します。 これらのメールは通常、他の従業員に送金や機密情報の提供を求めます。
＃4。 弁護士のなりすまし
このタイプの攻撃では、攻撃者は弁護士または法定代理人になりすまして従業員に電子メールを送信し、特定の口座への送金や機密情報の提供などを要求します。
＃5。 データ盗難
このタイプの攻撃では、攻撃者は、不正な電子メールまたはその他の手段を通じて、ログイン資格情報や財務情報などの機密情報にアクセスできます。 攻撃者は、この情報を使用して金銭的利益を得たり、さらなる攻撃を実行したりできます。
BEC 攻撃は、技術的な欠陥ではなく、ソーシャル エンジニアリングや人的ミスに依存しているため、非常に高度で発見が難しいことがよくあります。 このため、組織は、従業員が BEC 攻撃を認識して回避できるように、強力なセキュリティ プロトコルとトレーニングおよび意識向上プログラムを用意することが重要です。
BEC 詐欺のターゲットは誰ですか?
ビジネス メール詐欺 (BEC) 詐欺は、さまざまな個人や組織を標的にする可能性がありますが、通常は定期的に金融取引を行う企業やその他のエンティティに焦点を当てています。 BEC 詐欺の一般的な標的には、次のようなものがあります。
＃1。 大企業
BEC 詐欺は大企業も狙っています。大企業は複雑な財務構造とプロセスを持っている可能性があり、攻撃に利用される可能性があります。
＃2。 中小企業 (SMB)
一般にセキュリティ管理が緩く、専任の IT およびセキュリティ スタッフが不足しているため、SMB は BEC 詐欺の標的になることがよくあります。 これらの企業は、ソーシャル エンジニアリング戦術やその他の形態のサイバー犯罪に対してより脆弱である可能性があります。
＃3。 政府機関
BEC 詐欺は、政府機関、特に金銭や機密情報を扱う政府機関から金銭を受け取るためにも使用できます。
＃4。 非営利団体
非営利組織も、BEC 詐欺の標的になる可能性があります。特に、多額の金銭や機密情報を扱う組織はそうです。
＃5。 個人
一方、BEC 詐欺は通常、企業や組織、個人を対象としています。 たとえば、攻撃者は、金銭的支援を必要としている家族や友人を装った個人に詐欺メールを送信する可能性があります。
ソーシャル エンジニアリングと人的ミスにより、BEC 詐欺の検出が困難になります。 BEC 詐欺を回避するには、人々と組織は強力なセキュリティ プロセスを作成し、トレーニングと意識向上の取り組みを実施する必要があります。
BEC と EAC とは何ですか?
BEC (Business Email Compromise) と EAC (Email Account Compromise) は、金銭的利益を目的とした電子メール アカウントへの不正アクセスを伴う、類似しているが異なる XNUMX つのタイプのサイバー攻撃です。
BEC 攻撃では通常、ソーシャル エンジニアリング手法を使用して、従業員をだまして資金を送金させたり、機密情報を攻撃者に開示させたりします。 攻撃者は、被害者をだますために、CEO やベンダーなどの信頼できる人物になりすます可能性があります。 多くの場合、BEC 攻撃は高度に標的化されており、標的となる組織に関する情報を収集するために大規模な偵察が必要になる場合があります。
アクセスを取得した後、攻撃者はそのアカウントをフィッシング、個人情報の盗難、または違法な金融取引に利用する可能性があります。
BEC 攻撃はソーシャル エンジニアリングを使用して被害者に特定のアクティビティを完了するよう説得しますが、EAC 攻撃は電子メール アカウントへの不正なアクセスと管理を必要とします。 どちらも、企業と個人にとって損害を与える可能性があります。 多要素認証とセキュリティ認識トレーニングにより、両方の種類の攻撃を防止および軽減できます。
電子メール ハッキングの 4 つの主なタイプとは?
電子メールのハッキングにはいくつかの種類がありますが、主な種類は次の XNUMX つです。
＃1。 パスワードベースの電子メールハッキング
このタイプのハッキングでは、攻撃者はユーザーのパスワードを推測または盗むことにより、電子メール アカウントへのアクセスを取得します。 攻撃者は、フィッシング、マルウェア、ソーシャル エンジニアリングなど、さまざまな方法でパスワードを取得できます。
＃2。 メールのなりすましハッキング
ここで、攻撃者は、銀行や政府機関などの正当なソースから送信されたように見える電子メールを送信します。 しかし、実際には詐欺です。 これは、被害者をだまして機密情報をあきらめさせたり、さらに攻撃を仕掛けたりするために使用できます。
＃3。 メール転送ハック
このタイプのハッキングでは、攻撃者はユーザーの知らないうちに別の電子メール アカウントへの電子メール転送を設定します。 これにより、攻撃者は知らないうちに被害者の電子メールを読んで返信することができます。
＃4。 メール傍受ハック
この種のハッキングでは、被害者が電子メールを送受信しているときに攻撃者が電子メールを傍受します。 彼らは、被害者のネットワークを侵害するか、中間者 (MitM) 攻撃を使用してこれを行います。
ビジネスメール侵害の費用はいくらですか?
Business Email Compromise (BEC) 攻撃のコストは、いくつかの要因によって大きく異なります。 これには、組織の規模、盗まれた金額、および攻撃の期間が含まれる場合があります。 FBI の Internet Crime Complaint Center (IC3) は、2016 年から 2019 年の間に、BEC 攻撃によって 26 億ドル以上の損失が発生したと述べています。 あなたが私に尋ねると、それはかなり多いです。
場合によっては、BEC 攻撃による損失は、数千ドルなど、比較的小さいものになる可能性があります。 ただし、他のケースでは、損失がはるかに大きくなる可能性があります。 たとえば、2019 年には、リトアニア人の男性が、100 億ドル以上を XNUMX つのテクノロジー企業からだまし取った BEC スキームに関与したとして、XNUMX 年の懲役刑を言い渡されました。
BEC 攻撃による直接的な経済的損失に加えて、攻撃の調査と修正のコスト、生産性の損失、風評被害、規制上の罰金や訴訟のリスクなど、多額の間接コストが発生する可能性があります。
企業は、BEC 攻撃を阻止するための対策を講じる必要があります。 これには、堅牢なセキュリティ管理の導入、従業員のトレーニングと意識向上プログラムの提供、複数のチャネルを介したすべての支払い要求と支払い情報の変更の確認が含まれます。
ビジネスメール詐欺の例
A business email compromise (BEC) is a type of cyberattack that targets businesses and organizations by impersonating a company executive or employee to deceive others into sending money, revealing sensitive information, or performing some action.
会社の CEO の名前が John Smith で、彼の電子メール アドレスが [メール保護]。 攻撃者は、ジョンのアドレスに似たアドレスを持つ偽の電子メール アカウントを作成します。 [メール保護]、「i」の代わりに似た文字「r」を使用します。 その後、攻撃者は会社の会計士に電子メールを送信し、すぐに支払う必要がある緊急の支払いであると主張して、ベンダーの銀行口座に 50,000 ドルを送金するよう依頼します。
電子メールは正当なものに見え、会計士は何も疑わず、お金をベンダーの口座に送金します。 その後、攻撃者は資金を引き出して姿を消し、会社には 50,000 ドルが残されます。 これは BEC 攻撃の手口の一例に過ぎず、フィッシング詐欺や偽の請求書など、さまざまな形をとる可能性があります。 企業は、この種の攻撃を認識し、多要素認証の実装や BEC の危険性を認識するための従業員のトレーニングなど、自らを保護するための措置を講じることが重要です。
ビジネスメール侵害詐欺
ビジネス メール侵害 (BEC) 詐欺は、正当なビジネス エンティティになりすまして他者をだまして送金、機密情報の提供、または何らかのアクションを実行させるサイバー攻撃の一種です。 典型的な BEC 詐欺の手口は次のとおりです。
- 攻撃者は通常、フィッシングまたは会社のネットワークへのハッキングによって、従業員の電子メール アカウントに侵入します。
- 攻撃者は従業員の電子メールを調べて、ベンダーの名前、通常送金される金額、支払いが通常行われる時期など、会社がどのようにビジネスを行っているかを調べます。
- 次に攻撃者は、CEO、CFO、COO などの上級幹部になりすまし、会計士や会計係などの金融取引を担当する従業員に電子メールを送信します。
- 電子メールは、多くの場合、偽の請求書や正当に見えるその他の文書を使用して、ベンダーまたは請負業者に緊急の支払いを行うよう従業員に指示します。
- 電子メールは、緊急性、恐れ、または権威を利用して、要求に疑問を呈することなく、従業員に迅速に支払いを行うよう圧力をかける場合があります。
- 従業員は、電子メールが本物であると考えているため、指示に従います。 多くの場合、これは、攻撃者が制御する偽のアカウントに多額の送金を行うことを意味します。
- その後、攻撃者は資金を引き出して姿を消し、会社を資金から除外し、評判を損なう可能性があります。
ビジネスメール詐欺攻撃
ビジネス メール侵害 (BEC) 攻撃は、会社の役員または従業員になりすまして、他人をだまして送金、機密情報の開示、または何らかのアクションを実行させることにより、企業を標的とするサイバー攻撃の一種です。 ほとんどの場合、次のように発生します。
- まず、攻撃者は標的の企業について調査を行い、CEO、CFO、およびその他の高官が誰であるかを突き止めます。
- 次に、攻撃者は偽の電子メール アカウントを作成するか、主要な担当者の XNUMX 人が所有する既存の電子メール アカウントをハッキングします。
- 攻撃者は、慎重に作成された電子メールを社内の別の従業員 (通常は財務部門または経理部門の従業員) に送信します。 電子メールは幹部から送信されたように見え、幹部のコミュニケーション スタイルと一致する言葉遣いや口調を使用している可能性があります。
- 電子メールは、従業員に、外部の口座に多額の送金をするか、従業員の記録、顧客データ、知的財産などの機密情報を提供するよう求めます。
- 電子メールは、緊急性、恐れ、または権限を使用して、従業員に質問なしで要求に従うよう圧力をかける場合があります。
- 従業員は、電子メールが本物であると考えているため、要求に従います。 彼または彼女は、指示に従ってお金を送金したり、情報を提供したりします。
- その後、攻撃者は資金を引き出すか、自分の利益のために情報を利用して、企業に資金を提供せず、ビジネスに損害を与える可能性があります。
ビジネスメール侵害ツール
ビジネス メール詐欺 (BEC) 攻撃は通常、ソーシャル エンジニアリング手法を使用し、特別なツールやマルウェアは必要ありません。 これらのツールとアプローチは BEC 詐欺師を助けることができますが、多くの場合、ソーシャル エンジニアリングが最も効果的なツールです。 企業は、BEC 攻撃を防ぐために、XNUMX 要素認証、メール スクリーニング、フィッシング、およびソーシャル エンジニアリング トレーニングを使用する必要があります。 以下は、攻撃者がビジネス メールの侵害に使用したツールの一部です。
＃1。 メール収集ツール
ビジネス侵害ツールのリストの最初は、メール収集ツールです。 電子メール収集ソフトウェアは、Web サイト、ソーシャル メディア、および電子メール アドレスのその他のソースをクロールできます。 これらのツールは、攻撃者が潜在的な標的を特定し、BEC 詐欺の標的となる電子メール アドレスのリストを作成するのに役立ちます。
＃2。 なりすましツール
攻撃者はスプーフィング ツールを使用して、正当なソースから送信されたように見える偽の電子メール アドレスを作成できます。 これらのツールを使用すると、攻撃者は電子メールの「差出人」アドレスを変更して、標的の従業員からのものであるかのように見せることができます。
＃3。 マルウェア
BEC 詐欺師は、マルウェアを使用して標的のネットワークまたは電子メールにアクセスする可能性があります。 攻撃者は、キーロガーを使用してユーザー名とパスワードを盗んだり、リモート アクセス ツールを使用して標的のコンピューターを制御したりする可能性があります。
＃4。 メール追跡ツール
攻撃者は、メール追跡ツールを使用して配信を監視し、詐欺メールのステータスを読み取る可能性があります。 これにより、攻撃者は、詐欺に引っかかる可能性が高い潜在的な被害者を特定することができます。
ビジネス メールの侵害または攻撃ツールのリストの最後は、ソーシャル エンジニアリング手法です。 BEC 詐欺は、なりすまし、緊急性、権限などのソーシャル エンジニアリング戦術に大きく依存しています。 攻撃者は、ソーシャル エンジニアリング技術を使用して、ターゲットをだまして機密情報を開示させたり、資金を送金させたりすることがあります。
関連記事
- ビットコインウォレット：タイプ、レビュー、必要なものすべて
- 統合的交渉: 定義, ヒント、 および例
- データ侵害とは? それを防ぐ方法
- PROFESSIONAL EMAIL: 意味、書き方、知っておくべき重要なヒントw
参考文献
