あのGoogleもFacebookも1.2億ドル詐取された　詐欺師が「受信トレイ」を真っ先に狙う理由：もうAIでしょう（2/2 ページ）

» 2026年08月13日 13時00分公開

[＠IT]

ビジネスメール詐欺（BEC）の実例

　これまでに記録された最も壊滅的なサイバー攻撃の一部は、受信トレイへの侵害から始まった。

Google、Facebook：正規のサプライヤーになりすました攻撃者が偽造書類を含む偽の請求書をメールで送り付け、推定1億2000万ドル以上を詐取された。
Children's Healthcare of Atlanta（アトランタ小児医療センター）：建設会社が「新病院棟の元請け業者に選定された」と公表された直後、詐欺師が同社のレターヘッドとメールアドレスを偽装し、最高財務責任者（CFO）を名乗って支払いを要求した。
Crelan Bank（クレラン銀行）：詐欺師が高位経営幹部のメールアカウントを乗っ取り、CEOになりすまして従業員に7500万ドル以上を送金させた。

受信トレイを守るための対策

　個人ユーザーは、全てのアカウントに強固で固有のパスワードまたはパスフレーズを設定し、信頼できるパスワードマネジャーに保存することが推奨される。パスキーなどパスワードレスの方式を選択することもできる。多要素認証（MFA）を有効にすることも欠かせない。アカウント復元オプションを最新の状態に保ち、古い電話番号や忘れていたバックアップ用メールアドレスが悪用されないよう注意する。

　メールの設定も定期的に確認したい。見覚えのない転送ルール、不審なフィルター、知らない連携アプリケーション、見覚えのないデバイスがないかどうか点検する。受信トレイが侵害されていた場合は、パスワードを変更し、不審なセッションを取り消し、アカウント復元オプションの確認と転送設定のチェックを行う。

　この他、実践すべきセキュリティ対策を以下に示す。

フィッシングへの意識を持つ。迷惑メールは慎重に扱い、送信者名とメールアドレスの不一致や送信元ドメインの誤字を確認する。不審なリンクや添付ファイルは開かず、必要に応じて別の手段で送信者本人に確認を取る。
自分で操作していないデバイスコードやMFAの承認要求（スマートフォンへの通知など）は許可しない
アカウント復元オプションが常に最新の状態かどうかを確認する
（従業員向け）緊急の振込要求は、CEOや情報システム部門からの依頼に見えても、同僚や別のチャンネルで必ず確認する
（従業員向け）詐欺師が使用している最新のフィッシング戦術や手法を把握するために従業員のセキュリティ意識向上トレーニングを重視する
信頼できるプロバイダーの総合セキュリティ製品を使う

講談社で起きた“メール侵害の連鎖”　3812件の情報漏えいから得る教訓
講談社の従業員が取引先を装ったフィッシングメールにだまされ、社用メールアカウントが不正利用された。被害は認証情報の窃取だけでなく、流出した連絡先情報がそのまま新たな攻撃に利用される事態に発展したという。いつ被害に遭ってもおかしくないこの問題への対処法とは。
KDDIメール漏えいの全容判明　ゼロデイ悪用で761万人分パスワードが流出
6月に公表されたKDDIのISP事業者向けメール基盤への不正アクセスで、新たな調査結果が明らかになった。漏えいしたのはメールアドレス1223万3087人分だ。このうち761万6173人分ではパスワードも漏えいも確認されたという。同社の再発防止策とは。
QRコード攻撃はなぜメールセキュリティを無力化できるのか？　その理由を解説
メールセキュリティ製品を導入しているからといって、安心とは限らない。QRコードを悪用したフィッシング攻撃は、従来のメールゲートウェイが前提としてきた検査方法をすり抜ける可能性があるという。どう対策をすればいいか。
【実録】自社に届いたCEO詐欺メールを徹底解析　狙われる企業に共通する3つの「隙」
「社長からの一通」を疑えますか――。本稿では実際に自社に届いたCEO詐欺メールを徹底解析。受信トレイ上の表示や自然過ぎる文面、返信先のすり替えなど簡単に見抜けない巧妙な仕掛けを解説します。
【無料】「メールサーバなんて触ったことない」人も必見　SPF・DKIM・DMARCの基礎が学べる電子書籍75ページ
人気過去連載を電子書籍化し、無料ダウンロード提供する＠IT eBookシリーズ。第147弾は、メールの仕組みや基礎を再確認しながら、確実にメールを届けるために必要な設定や運用のポイントを解説する連載「意外と知らないメールサーバ構築・運用の基本」です。「メールが届かない」理由や、SPF・DKIM・DMARCなどの基礎知識が身に付きます。