ビジネスメール詐欺：AIがBEC攻撃を変える方法とその防止策

ビジネスメール詐欺：AIによる個別化攻撃が特定の人物を狙う方法

BECはしばしばマルウェア、エクスプロイト、疑わしい添付ファイルを必要としません。なりすまし攻撃では、攻撃者は類似ドメインまたはなりすましアドレスと、メッセージに対応する意志のある人物を必要とします。account takeoverでは、攻撃者は実際のメールボックスに侵入し、情報窃取マルウェアやログインセッションを捕捉するフィッシングキットを使って、信頼されたアカウントから送信します。AIはこれらを安価に作成し、数百のターゲットに同時に繰り返すことを容易にします。

ビジネスメール詐欺とは何ですか？

BEC詐欺では、攻撃者がターゲットが信頼する人物（経営幹部、ベンダー、同僚など）になりすまします。目的は金銭、認証情報、またはデータです。一部の攻撃では偽装ドメインや類似ドメインを使用します。別の手法では、攻撃者が実際のメールボックスにログインしてメールを送信します。この方法は検出が難しく、メッセージは正規のアドレスから送信され、既存のスレッド内にあることが多いです。

一般的なBEC攻撃の例

4つのパターンが何度も現れます。

• ベンダー請求書詐欺： 攻撃者がサプライヤーのメールボックスにアクセスし、実際の請求書スレッドに更新された銀行情報で返信します。経理担当者は見慣れた送信者を見て、支払いは攻撃者に送られます。
• 経営幹部のなりすまし: CEOからのように見えるメッセージが財務担当者に緊急の送金を依頼し、追跡電話を控えるよう促します。
• 給与の横取り： 従業員を装った人物が人事部に直接入金の詳細変更を依頼します。
• スレッドの乗っ取り： 侵害されたアカウントで、攻撃者は進行中の会話を読み、適切なタイミングで介入します。

AIがBEC詐欺を変える方法

従来のBECは手作業で行われていました。攻撃者は企業を調査し、支払いを承認する人物を特定し、各メッセージを手書きで作成していました。これにより、ボリュームは低く抑えられ、1人の攻撃者が対応できるターゲット数も制限されていました。AIは各段階で経済性を変えます。

多くの経営幹部、休憩なし

経営幹部を狙ったBECは手動でした。攻撃者は1人か2人の幹部を選び、ターゲットが応答するか攻撃者が諦めるまで試み続けました。試みるたびに時間がかかるため、ターゲットリストは短いままでした。

AIを使うと、攻撃者は数百人のCレベルおよび上級財務担当者のリストを作成し、それぞれに異なるメッセージを生成して24時間送り続けることができます。1人を無視すると、別の口実でフォローアップが来ます。自動化は誰が返信したか、しなかったか、次に試すべきことを追跡します。経営幹部は通常広範なアクセス権を持っているため、1回の成功で支払い承認、取締役会資料、機密データに到達できます。

組織規模での調査

企業のウェブサイト、プレスリリース、求人情報、プロフェッショナルネットワーキングのプロフィールには、名前、役職、報告ライン、ベンダーとの関係が明らかになります。自動化ツールは数分で企業全体の情報を収集します。攻撃者がすでに1つのメールボックスを制御している場合、受信箱には実際のプロジェクト名、請求書番号、同僚が実際にどのようにやり取りしているかが追加されます。

送信者に合った文章

言語モデルは、侵害されたアカウントの数十通のメールを読み、送信者の挨拶、締めくくり、文の長さを再現できます。出力は、対象が読む言語でのきれいで流暢なテキストです。スペルミスや不自然な表現はかつて標準的な警告サインでしたが、消えつつあります。

スレッド内からのタイミング

モデルは長いスレッドを要約し、重要な瞬間を見つけ出します：承認された請求書、保留中の送金、契約更新。攻撃者のメッセージは支払いの会話が進行中のときに届き、新しい銀行情報が通常のものに見えます。

より速い認証情報攻撃

アカウント乗っ取りはスレッドハイジャックを可能にし、AIもそれを加速させます。公開プロフィールから収集した名前、ペット、誕生日、雇用主の情報が、特定の人物の可能性のあるパスワードを生成する推測ジェネレーターに供給されます。漏洩した認証情報は多くのアカウントで順番にテストされ、自動化が再試行を処理します。

並べて：

メールアカウントの侵害は資格情報から始まります

類似ドメインはブロックまたはフラグ付けできます。乗っ取られた実際のアカウントは送信者が正当なため、検出が難しいです。ほとんどの乗っ取りは資格情報から始まります：漏洩サイトで再利用されたパスワード、個人情報から作成されたパスフレーズ、または数十人が開けるスプレッドシートに保存された共有ログインです。

経営幹部は攻撃者が執拗に攻撃を続けるため、より大きなリスクに直面しています。弱いまたは使い回しのパスワードは数回の試行に耐えられるかもしれませんが、何千回もは別問題です。

一度侵入すると、攻撃者はメールを読み、「invoice」「wire」「payment」といった単語を検索し、自分の活動を隠すルールを設定します。転送ルールや返信を目立たないフォルダに移動するルールは、実際の所有者を数週間気づかせないことがあります。

BEC防止：パスワード層を強化する

メールフィルタリングとユーザー教育が重要です。認証情報レイヤーでの2つのコントロールにより、盗まれたり再利用されたパスワードが侵害されたメールボックスになる確率が下がります。

Netwrix Password Policy Enforcerは、ネイティブのActive Directoryの複雑さルールをはるかに超えています。Have I Been Pwnedのような漏洩リストと新しいパスワードを照合し、辞書単語や予測可能なパターンをブロックし、ユーザー、グループ、OUごとに異なるポリシーを適用します。リアルタイムのフィードバックでパスワードが拒否された理由を説明し、その場でより強力なパスワードを選択できるようにします。ポリシーはグループ単位で割り当てられるため、経営陣や財務チームは他のユーザーより厳しいポリシーを適用できます。

Netwrix Password Secure は、中央/ADポリシーがカバーしない資格情報、共有メールボックスのログイン、ベンダーポータル、特権アカウントを管理します。暗号化されたボールトに保存し、役割によるアクセスを許可し、機密アカウントの承認ワークフローをサポートします。すべてのアクセスは記録され、MFA は vault 自体で追加のチェックを行います。資格情報はスプレッドシートやチャットから取り出され、誰がいつ何を使ったかの記録が得られます。

Netwrix Data Classification は、最も機密性の高いコンテンツを保持しているメールボックスとリポジトリを示し、1つの侵害されたアカウントが到達可能な範囲を把握できます。

ビジネスメール詐欺防止チェックリスト

1. 侵害されたパスワード、辞書にあるパスワード、予測可能なパスワードをブロックするpassword policyを適用し、役員および財務チームにはより厳格なバージョンを提供します。
2. 共有および privileged ログイン情報をスプレッドシートから役割ベースのアクセス権を持つボールトに移動します。
3. メール、財務システム、およびvaultでフィッシング耐性のあるMFAを要求してください。
4. 銀行口座情報や支払い指示の変更は、既知の番号への電話など、別のチャネルを通じて確認してください。
5. 財務、人事、経営陣のメールボックスに対する転送および受信トレイルールを監査し、サインイン活動を確認します。
6. AIが書いたメッセージは読みやすいと人々に伝えてください。誤字脱字はもはや主な警告サインではありません。