あのGoogleもFacebookも1.2億ドル詐取された 詐欺師が「受信トレイ」を真っ先に狙う理由：もうAIでしょう（2/2 ページ）

メールアカウントはパスワードリセットや本人確認が集まる「デジタルライフの鍵」であり、攻撃者が最も狙う標的でもある。侵害の手口や急増するフィッシングの実態を知ることで、個人・企業それぞれの対策を講じられるようになる。

[＠IT]

ビジネスメール詐欺（BEC）の実例

　これまでに記録された最も壊滅的なサイバー攻撃の一部は、受信トレイへの侵害から始まった。

• Google、Facebook：正規のサプライヤーになりすました攻撃者が偽造書類を含む偽の請求書をメールで送り付け、推定1億2000万ドル以上を詐取された。
• Children's Healthcare of Atlanta（アトランタ小児医療センター）：建設会社が「新病院棟の元請け業者に選定された」と公表された直後、詐欺師が同社のレターヘッドとメールアドレスを偽装し、最高財務責任者（CFO）を名乗って支払いを要求した。
• Crelan Bank（クレラン銀行）：詐欺師が高位経営幹部のメールアカウントを乗っ取り、CEOになりすまして従業員に7500万ドル以上を送金させた。

受信トレイを守るための対策

　個人ユーザーは、全てのアカウントに強固で固有のパスワードまたはパスフレーズを設定し、信頼できるパスワードマネジャーに保存することが推奨される。パスキーなどパスワードレスの方式を選択することもできる。多要素認証（MFA）を有効にすることも欠かせない。アカウント復元オプションを最新の状態に保ち、古い電話番号や忘れていたバックアップ用メールアドレスが悪用されないよう注意する。

　メールの設定も定期的に確認したい。見覚えのない転送ルール、不審なフィルター、知らない連携アプリケーション、見覚えのないデバイスがないかどうか点検する。受信トレイが侵害されていた場合は、パスワードを変更し、不審なセッションを取り消し、アカウント復元オプションの確認と転送設定のチェックを行う。

　この他、実践すべきセキュリティ対策を以下に示す。

• フィッシングへの意識を持つ。迷惑メールは慎重に扱い、送信者名とメールアドレスの不一致や送信元ドメインの誤字を確認する。不審なリンクや添付ファイルは開かず、必要に応じて別の手段で送信者本人に確認を取る。
• 自分で操作していないデバイスコードやMFAの承認要求（スマートフォンへの通知など）は許可しない
• アカウント復元オプションが常に最新の状態かどうかを確認する
• （従業員向け）緊急の振込要求は、CEOや情報システム部門からの依頼に見えても、同僚や別のチャンネルで必ず確認する
• （従業員向け）詐欺師が使用している最新のフィッシング戦術や手法を把握するために従業員のセキュリティ意識向上トレーニングを重視する
• 信頼できるプロバイダーの総合セキュリティ製品を使う