detecting-business-email-compromise

ビジネスメール詐欺の検知

概要

ビジネスメール詐欺（BEC）は、攻撃者が幹部、ベンダー、または信頼できるパートナーになりすまし、従業員をだまして資金を送金させたり、機密データを共有させたり、支払い情報を変更させたりする巧妙な詐欺手法です。従来のフィッシングとは異なり、BECには悪意のあるリンクや添付ファイルが含まれないことが多く、純粋にソーシャルエンジニアリングに依存します。このスキルでは、メールゲートウェイルール、行動分析、財務プロセス管理を用いた検知手法を取り上げます。

使用する場面

• ビジネスメール詐欺の検知が必要なセキュリティインシデントを調査する場合
• この領域の検知ルールや脅威ハンティングクエリを作成する場合
• SOC アナリストがこの種の分析のための体系的な手順を必要とする場合
• 関連する攻撃手法に対するセキュリティ監視の範囲を検証する場合

前提条件

• BEC 検知機能を備えたメールセキュリティゲートウェイ
• 組織の財務プロセスと承認経路に関する理解
• メールログと SIEM プラットフォームへのアクセス
• ソーシャルエンジニアリングの手口に関する知識

主な概念

BEC 攻撃の種類（FBI IC3 分類）

1. CEO 詐欺：攻撃者が CEO になりすまし、緊急の電信送金を要求します
2. アカウント侵害：従業員のメールが侵害され、ベンダーに支払いを要求するために利用されます
3. 偽請求書詐欺：「ベンダー」から銀行口座情報を変更した偽の請求書が送られます
4. 弁護士なりすまし：緊急かつ機密の送金を求める法律顧問になりすまします
5. データ窃取：人事部門に W-2、納税申告書、または PII を要求します

検知指標

• 緊急性や秘密保持を促す表現（「confidential（機密）」、「do not discuss with others（他の人には話さないでください）」）
• 新規または変更された支払い指示
• 通常のパターンから外れた幹部とのやり取り
• 表示名は幹部と一致しているが、メールドメインが異なる
• Reply-to アドレスが From アドレスと異なる
• 送信者と受信者の間で初めてのやり取り
• ギフトカードまたは暗号通貨の要求

ワークフロー

ステップ 1：BEC 固有のメールルールを設定する

• 外部ドメインから送信された VIP の表示名を含むメールにフラグを付けます
• 金融関連のキーワードと緊急性を示す表現の組み合わせを検知します
• 財務／経理担当者に初めて連絡する送信者をアラートします
• Reply-To ドメインの不一致を確認します

ステップ 2：行動分析を導入する

• ユーザーごとに通常のコミュニケーションパターンをベースライン化します
• 通常とは異なる要求（宛先、時刻、要求の種類が通常と異なるもの）を検知します
• メール転送ルールの変更を監視します（T1114.003）

ステップ 3：財務管理を実施する

• しきい値を超える電信送金には二重承認を適用します
• 支払い情報の変更には帯域外での確認を行います（電話での折り返し確認）
• ベンダーの支払い情報変更を確認するプロセスを設けます
• BEC の危険信号について財務チームをトレーニングします

ステップ 4：アカウント侵害を監視する

• メールログイン場所における不可能な移動を検知します
• メール転送ルールの作成をアラートします
• メールボックスの委任設定の変更を監視します
• BEC 関連メールを隠す受信トレイルールがないか確認します

ツールとリソース

• Microsoft Defender for O365 Anti-BEC：組み込みの BEC 検知機能
• Proofpoint Email Fraud Defense：BEC 専用ソリューション
• Abnormal Security：AI を活用した BEC 検知
• FBI IC3 BEC Advisory：https://www.ic3.gov/
• FinCEN BEC Advisory：金融機関向けガイダンス

検証

• テストシナリオで BEC 検知ルールが作動する
• 訓練で財務管理により不正送金を防止できる
• アカウント侵害の検知機能が模擬攻撃を検出する
• セキュリティ意識評価で BEC への脆弱性が低下する