- サイバー脅威の状況は大きく変化し、ランサムウェアに代わってビジネスメール詐欺（BEC）攻撃が注目されています。
- BECは、攻撃者が実体をなりすますフィッシングの一種です。
- BEC攻撃における懸念すべき進展の一つとして、音声ディープフェイクの出現があります。
近年、サイバー脅威の状況は大きな変化を目の当たりにしており、ランサムウェアに取って代わってビジネスメール詐欺（BEC）攻撃が注目されています。Cloudflareの2023年フィッシング脅威レポートによると、BEC関連の金銭的損失は2021年12月から2022年にかけて17%という懸念される増加を示しました。この増加は、サイバー敵対者がBECを攻撃手法としてますます好んでいることを浮き彫りにしています。
BECの増大する脅威
BECは、攻撃者が企業のCEO、ベンダー、または顧客などのエンティティになりすまし、被害者をだまして不正な口座へ資金を送金させるフィッシングの一種です。BECは何年も前から存在していますが、人工知能（AI）を含む最近の技術的進歩により、これらの攻撃はより説得力があり、洗練されたものになっています。
BEC攻撃における懸念される発展の一つは、攻撃者がCEOなどの信頼できる人物を模倣することを可能にする音声ディープフェイクの出現です。ChatGPTのような生成AIシステムは容易に入手可能になり、BEC攻撃の進化にさらに拍車をかけています。
BEC攻撃は通常、敵対者が支払い詳細を変更したり、承認されていない取引を開始したりして、被害者をだまし、攻撃者の口座へ資金を送金させます。英国KPMGのパートナー兼サイバー部門責任者であるDel Heppenstall氏は、企業がこれらの攻撃により数百万ドルの損失を被っていると報告しています。
CyberSmartのシニアサイバーセキュリティコンサルタントであるAdam Pilton氏が引用した一例は、BEC攻撃がいかに欺瞞的に単純であるかを示しています。ある中小製造業は、過去の請求書と同一に見えたが、銀行口座の詳細が変更された請求書を受け取りました。受信者は無意識のうちに、サプライヤーになりすました犯罪者に資金を送金しました。
BEC攻撃は、財務担当の個人を悪用することが多く、検出が特に困難です。eSentireの脅威対応ユニットのシニアセキュリティリサーチャーであるJoe Stewart氏は、BECは大量のフィッシングキャンペーンではなく、微妙なメール操作に依存しているため、検出がより複雑になると指摘しています。
BEC攻撃の効率性
BECをランサムウェアなどの他のサイバー脅威と区別するのは、その効率性です。敵対者が資金にアクセスすると、ランサムウェア攻撃が被害者から身代金を巻き上げるために追加の努力を必要とするのとは異なり、資金を迅速に転送できます。
BECは長年存在していますが、その正確な起源を追跡するのは困難です。FBIは2013年にこれらの「ビジネスメール詐欺」の追跡を開始し、その普及の顕著な増加を示しました。BEC攻撃は、マルウェアや悪意のあるURLではなく、なりすましやソーシャルエンジニアリングに依存しているため、標準的なサイバーセキュリティ防御では検出が困難です。
BEC攻撃におけるAIの役割
ChatGPTなどのツールを含むAIは、洗練されたBEC攻撃を実行するための障壁を低下させました。限られた英語能力しか持たない脅威アクターでさえ、ChatGPTのようなツールを活用して複雑なフィッシングキャンペーンを起動できます。これらのツールは音声や顔のディープフェイクを容易に生成でき、詐欺的な通信と本物の通信を見分けることがますます困難になっています。攻撃者はまた、LinkedInなどのプラットフォームから個人情報を収集し、個人の執筆スタイルを模倣した説得力のある偽のメールを作成するためにAIを使用することもできます。
AIの能力がさらに進化するにつれて、専門家は詐欺的な請求書の作成や潜在的な標的に対する偵察にAIが使用されると予測しています。さらに、AIはBEC攻撃を自動化し、スケーリングすることで、それらをさらに強力なものにするでしょう。
企業は、BEC攻撃のリスクを保護し、軽減するためにいくつかの措置を講じることができます。受信メールのメールアドレスの微妙な変更や、請求書の支払い詳細の不一致を精査する必要があります。疑わしいメールリダイレクトルールの監視と、即時支払いを迫る圧力戦術への抵抗が不可欠です。
BEC攻撃に対する防御を強化するため、適切なパスワード慣行の採用、二要素認証（2FA）の実装、適切なサイバーセキュリティツールの活用が不可欠です。組織全体で堅牢なポリシーを開発し、セキュリティ意識の高い文化を育むことも同様に重要です。
従業員のトレーニングは、BEC攻撃に対抗する上で重要な役割を果たします。内部のフィッシング意識テストを実施し、送金リクエストが検証された連絡先を使用して厳格に検証されるようにすることで、組織のセキュリティ姿勢を強化できます。メールサーバーの設定、従業員のメール設定、接続ログを定期的にレビューすることで、BEC攻撃を検出し、防止することができます。
さらに、執行役員や会社の情報の公開を制限することで、サイバー犯罪者によるAIベースのなりすまし試みの効果を減らすことができます。公開されているデータを最小限に抑えることで、企業は詐欺目的で情報を収集する攻撃者の試みを阻止できます。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
ブライアン・クーム
ブライアン・クミは2017年から業界に従事し、ブロックチェーンおよび暗号通貨の報道において7年以上の経験を持っています。BlockToday.comを含む主要な出版物に寄稿しており、BitDegree.orgでEthereum 101コースを開発したのち、Cryptopolitanのフルタイムライターとして参加しました。ブライアンはエバーグリーンガイド（EG）、ディープダイブ、インタビュー、価格分析をカバーしており、DeFi、ブロックチェーンのイノベーション、新興の暗号通貨プロジェクトへの注目は読者を魅了しています。
