正解：エ
各選択肢の解説
ア偽のWebサイトへ誘導し、IDやパスワードを入力させるフィッシング
誤り。フィッシングがだまし取るのは認証情報で、そのために偽サイトへ 誘導します。この例では偽サイトも入力画面も登場せず、担当者は普段どおりの 手続きで送金しています。奪われたのが情報か金銭かで区別します。
イマルウェアに感染させ、組織から機密情報を盗み出す標的型攻撃
誤り。特定の組織を狙って文面を作り込む点は共通しますが、標的型攻撃は 添付ファイルなどで感染させ、情報を持ち出すところまでを行います。 この例では感染が起きておらず、目的も情報ではなく金銭です。
ウファイルを暗号化し、復旧と引換えに金銭を要求するランサムウェア
誤り。金銭が目的である点は共通しますが、ランサムウェアは業務を止めて 支払を迫ります。この例ではファイルも業務も無事なまま、 担当者が自分で振り込んでいます。被害の現れ方が逆です。
エ実在する関係者になりすましたメールで、金銭をだまし取るビジネスメール詐欺
正解。取引先や自社の経営者になりすまし、送金の権限をもつ担当者に 偽の口座へ振り込ませる手口です。マルウェアを使わず文面だけで成立するため、 ウイルス対策ソフトには引っかかりません。
理解を深めるために
ウイルスを使わない、メールだけの詐欺
**ビジネスメール詐欺（BEC）**は、取引先の担当者や自社の経営者になりすました メールを送り、送金の権限をもつ担当者に偽の口座へ振り込ませる手口です。 英語の Business E-mail Compromise の略で、狙いは最初から金銭にあります。
特徴は、不正なプログラムをいっさい使わないことです。届くのは普通のメール本文 だけなので、添付ファイルを検査するウイルス対策ソフトも、不審なリンクを遮断する 仕組みも反応しません。防いでいるつもりの技術を、すべて素通りします。
信じ込ませるための下準備
- 取引先や社内のメールをあらかじめのぞき見て、進行中の案件や文体を把握する
- 実在の担当者名や署名をそのまま流用し、差出人アドレスを1文字だけ変える
- 「今日中に」「社外秘なので上司には確認しないでほしい」と急がせ、確認をさせない
対策も技術より手順です。口座変更の連絡を受けたら、メールに書かれた連絡先ではなく 以前から登録している電話番号にかけ直して確かめる。一定額以上の送金は複数人の 承認を必須にする。この2つで大半が止まります。
似た手口との違い
| 手口 | 狙いと手段 |
|---|---|
| ビジネスメール詐欺（BEC） | 金銭の送金。なりすましメールの文面だけで成立 |
| フィッシング | 認証情報。偽サイトへ誘導して入力させる |
| 標的型攻撃 | 機密情報。マルウェアに感染させて盗み出す |
| ランサムウェア | 金銭。ファイルを暗号化して復旧と引き換えに要求 |
試験では「請求書」「振込先の変更」「経営者からの至急の指示」が出てきたら BECを疑います。マルウェアが登場しないのに金銭被害が出るのが見分け方です。