【注意喚起】社長からの「Re:」が危ない？最新のなりすましメール術

「お疲れ様。○○君△△の件だけど、急ぎでこちらの口座に変更をお願いします」

もし、あなたの元に「過去にやり取りしたメールの返信」として、社長からこんな指示が届いたらどうしますか？
「前回の続きの話だし、本人が送ってきたものに違いない」と思い込んでしまいませんか？

今、企業の規模を問わずこうした「過去のメール履歴を悪用したなりすまし詐欺」が急増しています。

■ なぜ騙されてしまうのか？

これまでの迷惑メールはどこか日本語が不自然だったり身に覚えのない内容だったりすることが大半でした。
しかし、最新の手口は極めて巧妙です。

攻撃者はあらかじめウイルスなどを使って社内のメール履歴を盗み見ています。
そして、実際に交わされたメールのスレッドに割り込む形で返信を送ってきます。

• 「Re:」で始まるタイトル: 自分の送信したメールへの返信として届くため警戒心が解かれます。
• 完璧な文脈: 前後の文脈が一致しているため違和感を感じる隙がありません。
• 社長という権威: 忙しい社長からの「至急」「極秘」という指示に
  部下は確認をためらってしまいます。

■ 攻撃者が狙う「3つの指示」

この手口で特によく見られる指示は以下の3つです。

1. 振込先の変更: 「取引先への支払いを、今回からこの口座に変えてほしい」
2. 偽サイトへのログイン: 「社外から承認が必要になった。このリンクからログインしてくれ」
3. 機密情報の送付: 「極秘プロジェクトのため、至急この資料をこのアドレスに送れ」

■ 私たちが今日からできる防衛策

サイバーセキュリティに100％の正解はありませんが、被害を最小限に抑えるための「鉄則」があります。

• 「返信」ボタンを押す前にアドレスを確認: 表示名は「社長の氏名」でも、メールアドレスの詳細を見ると全く無関係なドメイン（@gmail.comや海外ドメインなど）になっていることがあります。
  ※差出人名を「田中太郎(taro-tanaka@aaa.bbbb.jp)」という名前にされていると、実際は「田中太郎(taro-tanaka@aaa.bbbb.jp)(xxx@yyy.com)」だったりするので多少知識がある人ほど簡単に騙されています。
• 「お金」と「パスワード」は別ルートで確認: 振込先変更やログインを促す指示がメールで届いたら、チャットツールや電話、あるいは対面で必ず「本人」に再確認してください。
  チャットツールも乗っ取られる事は有ります。音声もAIが有ります。
• OSやソフトを最新に保つ: そもそもメール履歴を盗まれないよう、PCのセキュリティアップデートを怠らないことが大前提です。
  また、POP等ではなくExchangeOnline＋クラウドメールセキュリティサービス（弊社のsProtectCloudシリーズのemailセキュリティオプション等）を活用しましょう。

「自分だけは大丈夫」という自信が攻撃者にとって最大の隙になります。
少しでも「おや？」と感じたら社内で情報共有をしましょう。

この攻撃は単なるなりすましではなく過去に実際にやり取りされたメールのスレッドを窃取しその返信（Re:）として偽の指示を送る「スレッド乗っ取り型」のBECです。
弊社でも既に今年に入り3件見ていますが、前社長が使いそうな言い回しのメールで従業員名も名指しで送っています。
恐らくMitM攻撃を既に受けている又は取引先で受けている会社がある等どこかにセキュリティホールが有ったと思うべき事案でした。

攻撃のメカニズム

1. 侵入（初期潜入）: 攻撃者はまずマルウェア（Emotet等）やフィッシング詐欺で社員または取引先のPCからメールソフトのデータや認証情報を盗み出します。※セキュリティ設定の甘いメールでも多く起こります。
   常にファームの更新や管理が必要となり、社内にそのような対応が出来るリソースが無い場合はexchangeOnline等クラウドサービスの検討も良いです。
2. 監視と選別: 盗み出した膨大なメール履歴から社長や役員が指示を出しているスレッドあるいは高額な振込に関連するやり取りを特定します。
3. なりすまし（送信）: 過去の文脈を完全に踏襲し「先日の件だが、至急こちらに振り込んでほしい」「外出中なので、このリンクから承認してくれ」といった指示を表示名を社長に変えた偽のアドレスから送ります。
   メールの振り分けやタグ付けも良い案ですが、逆に言うとそれがされていれば安心してしまう　という危険性があります。
   

リスクの深刻性

• 心理的盲点: 「過去の会話の続き」であるため受信者は疑いを持たず偽のURLクリックや送金指示に従ってしまいます。
• 検知の難しさ: 文面が自然であり正規のやり取りに混ざるため従来のスパムフィルターをすり抜ける可能性が高いです。

対策
常に攻撃者の攻撃は進化し変わってきます。
日頃から相談出来る顧問先、そして環境構築を行いましょう。

合同会社セクーラでは
ＩＴサポート契約にて担当が付く契約プランであれば日頃からメール・Teamsチャットでの相談が可能となります。

ご相談はこちらから
https://secura.co.jp/contact/