FBIのインターネット犯罪苦情センター（IC3）の最新報告書によると、2025年に米国ではBEC（Business Email Compromise、ビジネスメール詐欺）に関する苦情が24,768件寄せられ、これにより30億4000万ドルの損害が発生したと報告されています。
Microsoft 365 や Google Workspace には堅牢なセキュリティ対策が備わっていますが、実際には BEC 攻撃はさまざまな経路を通じて発生する可能性があり、単一の設定ですべての攻撃を防ぐことはできません。
さらに、どちらのプラットフォームにおいても、メールはより広範なクラウドIDの一部に過ぎません。マイクロソフトが指摘しているように、Entra IDの認証情報が漏洩した場合、関連するメールボックス、カレンダー、連絡先、ドキュメント、共有ファイル、サードパーティ製アプリ、SharePointフォルダー、OneDriveファイルも同様に危険にさらされる可能性があります。Google Workspaceの管理者は、サポート対象のエディションにおいて、GmailおよびDrive全体のアクティビティを調査することができます。
最後に、ビジネスメール詐欺（BEC）がどのようなものではないかを理解しておく必要があります。それは、従来のサイバー攻撃とは異なるのです。多くのユーザーは、BECの典型的な手口として、悪意のある添付ファイル、不審なリンク、あるいはパスワードの要求などを誤って思い込んでいます。攻撃者は、親しみやすい口調で2行ほどのメッセージを作成し、本物のサプライヤーとのやり取りの中にそれを紛れ込ませることがあります。場合によっては、実際のアカウントから送信されることさえあります。そのため、Microsoft 365やGoogle Workspaceの環境において、BECはとりわけ危険なものとなります。
BEC攻撃の始まりはすべて同じとは限らない
メールの受信者にとっては、ほとんどのBECメッセージがほぼ同じように見えるかもしれません。例えば、会社のCEOが緊急の送金を依頼したり、ベンダーが最新の銀行口座情報を要求したり、人事部が従業員の個人情報を求めたりといったケースです。
しかし、こうしたメールが送信されるに至った背景には、実に様々な事情が隠されている可能性があります。
攻撃者は、貴社のドメインをなりすましたり、類似ドメインからメールを送信したり、信頼できるサプライヤーのメールアカウントを乗っ取ったり、あるいは単に正規のMicrosoft 365やGoogle Workspaceアカウントにログインしたりしている可能性があります。それぞれの手法は異なる方法で信頼関係を迂回しており、それぞれ異なるセキュリティ対策を講じることで未然に防ぐことができます。これが、あらゆる形態のBECを防止する「特効薬」のような技術が存在しない理由です。
以下の対策を詳しく見ていきましょう。DMARC（Domain-based Message Authentication, Reporting, and Conformance）の設定はドメインのなりすましを防止し、本人確認はアカウントの乗っ取りを防ぎ、独立した検証は高額なビジネス取引において極めて重要です。
DMARCの適用により、ダイレクト・スプーフィング経路を遮断する
組織のドメインを悪用したスプーフィングに対する最初の防衛線は、メール認証です。
SPF、DKIM、DMARCは、受信メールサーバーが、組織のドメインから送信されたように見えるだけのメールと、正当なメールとを識別できるよう支援することで、ドメインを保護します。
DMARCを有効化すること自体は難しくありません。真の課題は、Microsoft 365やGoogle Workspaceを利用している組織の多くが、複数のサードパーティ製サービスを通じてメールを送信している点にあります。マーケティングオートメーションプラットフォーム、CRMシステム、カスタマーサポートツール、請求管理プラットフォーム、その他数十種類のビジネスアプリケーションが、組織のドメインからメールを中継している可能性があります。これらのサービスを特定して設定するまでは、隔離や拒否を強制するDMARCポリシーを急いで適用すると、それらのサービスから送信されるメッセージはすべて認証に失敗してしまいます。
DMARCは、攻撃者が貴社のドメインを装って顧客に直接メールを送信することを阻止するため、優れた第一の防御層となります。しかし、BECの他のあらゆる手口から貴社を守ることはできません。
アカウント乗っ取りの防止
認証済みのユーザーのアカウント内で、攻撃者は既存のメールスレッドを検索し、請求書の承認方法や承認担当者を突き止めることができます。その後、支払いに関するメールを自分自身に転送したり、返信を非表示のフォルダに移動させたり、OAuthアプリのアクセス権をパートナーと共有したり、証拠となるメールを削除したりすることが可能です。ここでは、これを防ぐためのさまざまな方法に焦点を当てます。
フィッシング耐性のある認証の利用
多要素認証（MFA）の義務化は優れた基本対策ですが、リスクの高いアカウントについては、さらに強力な認証レベルの導入を検討してください。管理者、財務、人事のアカウントが代表的な例です。
パスキーやハードウェアベースのセキュリティキーは、パスワードやワンタイムパスワード（OTP）よりも、認証情報のフィッシングを効果的に防止します。Microsoft Entra ID では、パスキー、Windows Hello for Business、FIDO2 セキュリティキー、証明書ベースの認証など、フィッシング耐性のある認証方法を登録できます。Googleはセキュリティキーを「最も強力な」2段階認証オプションとして位置付けており、パスキーベースのログインもサポートしています。
さらに、ライセンスの許す範囲であれば、コンテキスト認識型アクセスポリシーを判断材料にすることも可能です。Microsoft Entra IDの条件付きアクセスでは、特定の認証強度を強制し、アクセス条件を評価できます。Google Workspaceのコンテキスト認識型アクセスでは、ユーザー、場所、IPアドレス、デバイスのセキュリティ状態に基づいてアプリの使用を制限できます。
サードパーティ製アプリケーションへのアクセスを管理する
パスワードが解読されていないからといって、Microsoft 365 や Google Workspace アカウントが侵入から安全であるとは限りません。悪意のある OAuth アプリケーションや、過度に広範な権限を持つアプリケーションを承認することで、ユーザーはパスワードを必要とせずに、自分のメール、ファイル、およびクラウドに保存されているその他のデータへのアクセス権をそのアプリケーションに付与してしまう可能性があります。
Microsoft および Google はともに、ユーザーによるアプリケーション承認機能を制限し、可能な限り OAuth アクセスを制限するよう推奨しています。社内セキュリティポリシーに、アプリケーションへのアクセスを承認できるユーザーを明記し、承認済みアプリケーションのリストを管理し、機密性の高いアクセス要求を行うアプリについては管理者の承認を義務付け、定期的な見直しを行って使用されなくなったアプリを削除してください。明らかな業務上の必要性がない場合、メールやクラウドストレージへのアクセスに関する予期せぬ要求はすべて、不審なものとして扱ってください。
アカウント侵害の兆候に注意する
BEC攻撃者の目的の一つは、誰が誰とやり取りしているか、資金がどこへ送金されているかを把握できるまで、長期間にわたり検知されずに潜伏し続けることです。
マイクロソフトは、メールが突然行方不明になったり、削除したメールが存在しなかったりといった典型的なメールボックスの異常、送信済みアイテムや削除済みアイテムフォルダに不審なメールが表示されること、予期しない外部転送先アドレス、メッセージを自動的にRSS購読、メモ、または迷惑メールフォルダに移動させる受信トレイのルールなどに注意を払うよう強く推奨しています。
Googleもまた、アカウントが乗っ取られた疑いがある場合は、設定済みのGmailフィルターに加え、転送設定、アカウント復旧オプション、行方不明のメッセージ、連絡先、その他のGmail関連の設定を確認するようアドバイスしています。
誰かから「そのメールはあったのに、今はなくなっている」と指摘されるのを待ちましょう。予期しないメールボックスの転送ルール、フィルター、その他の設定は、特に財務、経営陣、管理職のアカウントの場合、被害者のセキュリティインシデントとして疑わしいものと見なすべきです。
メールの信頼チェーン外で高リスクな決定を行う
組織には技術的な制御が必要ですが、追加の防御層も必要です。メッセージがビジネスプロセスを開始することはあっても、リスクの高い取引を実行する根拠としては不十分であるべきです。
サプライヤーの銀行口座、支払指示、給与明細、その他の機密性の高い業務の変更依頼については、会社が信頼する別のチャネルを通じて確認する必要があります。FBIは、支払いの変更を確認するために本人または企業に電話をかけ、メールに記載されている電話番号ではなく、すでに記録されている電話番号を使用することを推奨しています。組織の取引量やワークフローに応じて、高額または通常とは異なる支払いについては、追加の承認手順を設けることも有効です。
RSSフィードを取得する
