トレンドマイクロでは、2017 年 1 月～11 月に発生したサイバー脅威の事例を分析し、個人利用者では１）金銭を狙う「不正プログラム」の拡散、２）「ネット詐欺」、３）「仮想通貨を狙う攻撃」 を、法人利用者では１）「ランサムウェア」と「WannaCry」、２）「公開サーバへの攻撃」による情報漏えい、３）「ビジネスメール詐欺（BEC）」 を「三大脅威」として選定いたしました。そして、「セキュリティ上の欠陥」が特に企業に深刻な影響を与えた年であったものと総括しています。本ブログではこの 2017 年の脅威動向速報を連載形式でお伝えしています。前回は全体の総括として、企業に深刻な影響をもたらす「セキュリティ上の欠陥」について解説しました。第 ２ 回の今回は、法人に大きな被害を与える脅威である BEC について前回と同じく「システム」、「人」、「プロセス」の 3 つの「セキュリティ上の欠陥」の観点から解説します。
図：2017 年国内の個人と法人における三大脅威
「Business Email Compromise（BEC、ビジネスメール詐欺）」の１つである「CEO詐欺」とは、企業の最高経営責任者（CEO）その他の幹部社員のメールアカウントに偽装し、社内の送金に携わる最高財務責任者（CFO）や会計担当者、監査役に不正な送金指示メールを送信する詐欺です。この CEO詐欺の攻撃キャンペーンが、過去 2週間以上にわたり、米国 17カ所・英国 10カ所・カナダ ８カ所の医療機関を標的にしていたことが確認されました。攻撃の対象となった医療機関には、総合病院や特殊医療を扱う大学病院、そして診療所も含まれていました。製薬会社もこの攻撃の対象外ではなく、英国を拠点とする １社とカナダの ２社が標的とされました。
CEO詐欺の送金指示メールが本物であると思い込んだ従業員は、平均して 1事例につき 14万米ドル（2016年11月25日現在、約1,584万円）もの資金をサイバー犯罪者が管理する銀行口座に送金したことが報告されています。
続きを読む
