問題 No.4200
中小企業の総務部門で働くAさんは、ある日、取引先を装った不審な電子メールを受信した。メールには「請求書の口座情報が変更されたため、こちらの新口座にただちに入金せよ」という指示が記載されており、添付されたPDFファイルには見覚えのあるフォーマットの請求書が記載されていた。不審に思ったAさんが取引先に直接電話で確認したところ、口座情報の変更は事実ではなく、攻撃者が金銭を不正に奪取するために送りつけた詐欺メールであることが判明した。このように、ビジネス上の取引を装って偽の送金先へ金銭を振り込ませるサイバー攻撃の手法として、最も適切なものはどれか。
【正解の解説】
ビジネスメール詐欺（BEC）
まるで実在する取引先からの「いつもと違うお願い」に見せかけ、巧妙に信じ込ませて大金を別口座へ振り込ませる詐欺の手口です。これはデジタル版の「オレオレ詐欺」のようなもので、システムをハッキングするのではなく、人間の思い込みや心理的な隙を巧みに突いて金銭を騙し取るのが特徴です。
スポンサーリンク
【その他の選択肢の解説】
標的型ランサムウェア攻撃
ランサムウェアはデータの暗号化や人質化による「身代金の要求」が目的であるのに対し、今回の事例は偽の請求書で直接送金を促すビジネスメール詐欺であり、攻撃の目的やアプローチの手段が明確に異なります。初学者は「サイバー攻撃でお金を奪う」という結果が似ているため混同しやすいので注意しましょう。
ドライブバイダウンロード攻撃
ドライブバイダウンロードはウェブサイトの閲覧をきっかけに自動でマルウェアをダウンロードさせる技術的な攻撃です。一方、今回の事例はメールの文面や添付ファイルを用いた巧妙な文章による詐欺であり、技術的な脆弱性よりも人間の心理的な隙を狙ったソーシャルエンジニアリングに分類されます。
サプライチェーン攻撃
サプライチェーン攻撃は「踏み台の利用」が最大の特徴であり、委託先企業のシステムやソフトウェアのアップデートを悪用して侵入します。取引先を騙るメールを使った詐欺行為とは手口の構造が全く異なるため、言葉の響きに惑わされないようしっかりと区別して覚える必要があります。