最も信頼しているベンダーからメールが届きます。銀行口座情報を変更したので、次の42,000ドルの請求書は新しい口座に振り込んでほしいという内容です。ロゴは正確で、メールのスレッドは見慣れたもので、文体もその人らしく、緊急性が感じられます。あなたはベンダーマスターを更新し、電信送金を承認し、送信を押します。数日後、実際のベンダーから支払いはどこかと電話がかかってきます。あなたが送金した口座は、数週間にわたりベンダーのメールを静かに転送していた犯罪者が管理する口座だったのです。
このシナリオがビジネスメール詐欺（BEC）であり、FBIは直近の1年間でこれによる被害を30億ドル超と推定しています——連邦準備制度理事会の集計によれば、過去10年間の累計は550億ドルを超えています。BECは古典的な意味での技術的ハッキングではありません。それは支払いを欺く手法であり、中小企業が最も脆弱な瞬間——資金を動かせる人がメールを信頼したまさにその瞬間——を悪用します。
中小企業が不当に大きな被害を受けているのは、犯罪者が中小企業を好むからではなく、BECを防ぐ統制——折り返し電話による確認、二重承認、ベンダーマスターの規律——が、人員の少ないチームで最も軽視されがちだからです。
BECが実際にどのように機能するか
FBIのインターネット犯罪苦情センター（IC3）は、BECをメールアカウント乗っ取り（EAC）と並ぶカテゴリーとして追跡しています。その仕組みは一貫しています。
- 乗っ取りまたは詐称。 攻撃者は、フィッシング、クレデンシャルスタッフィング、メールボックスの転送ルールを通じて正規のメールアカウントへのアクセスを取得するか、1文字だけ異なる類似ドメインを登録します。内部に侵入した後、メールのスレッドを読み、支払いの頻度、承認の文言、誰が送金を承認するかを把握します。
- 支払いの操作。 ベンダーの請求書、給与ファイル、不動産決済など、実際の取引に介入し、自分たちの支払い指示を差し替えます。メールは信頼されたアドレスまたはほぼ同一のアドレスから送信され、緊急性を煽ることがよくあります。「決算を締めるので、今日中に新しい口座を使用してください。」
- 電信送金またはACHの迂回。 資金は電信送金またはACHで、攻撃者が管理する口座——多くの場合、ベンダーが通常使用する銀行とは異なる銀行——に移動します。ベンダーが照合する頃には、資金は複数の口座を通じて移動済みです。
FBIは中小企業が遭遇する5つの一般的なバリエーションを挙げています。
- ベンダーメール詐欺： 仕入先のアカウントが乗っ取られ、「ベンダー」が更新された送金指示を送信します。
- CEO詐称： オーナーまたは役員が、極秘の取引のために財務部門に送金を指示しているように見えます。財務部門は役員に疑問を呈することなく従います。
- 給与振込先変更詐欺： 人事部門が、従業員からの直接預金情報の更新を求めるメールを受け取ります。次の給与は攻撃者に振り込まれます。
- 不動産送金詐欺： 決済担当者または買主が、物件購入のための変更された送金指示を受け取ります——多くの場合、中小企業が送る最大の単一送金です。
- データ窃取＋BEC： 攻撃者はまず従業員のW-2またはベンダー支払いデータを盗み、それを後続の詐欺に利用します。
サウスカロライナ州のある町が最近、自治体を狙ったBECで545,000ドルの被害——詐称されたベンダーへの単一の送金——を受けたことは、正式な調達手続きを持つ公共機関でさえ、確認を任意と扱う場合には免れないことを示しています。
中小企業が1件あたりの被害額で最大になる理由
BECの被害は均等に分布しているわけではありません。FBIと空軍研究所はともに、ITリソースが限られた中小規模の組織が最も脆弱であると指摘しています。その理由は技術的ではなく、運用上のものです。
- ベンダーのメールに返信する人が、支払いを承認する人でもあることが多く、第二の目がありません。
- 確認の電話をかけることは、遅延した支払いを修正するよりも時間がかかるように感じられるため、ベンダーマスターは確認なしで要求に応じて更新されます。
- 給与とベンダーの銀行口座変更はメールで届き、同じ日に処理されます。チームが少人数で機敏だからです——まさにBECが悪用する特性です。
- メールに多要素認証が適用されていないため、1つのフィッシングされたパスワードが攻撃者に永続的なアクセスを与え、さらに将来のすべてのメールのコピーを保持する転送ルールを設定する能力を与えます。
IC3に報告されたBECの被害額の中央値は、他のサイバー犯罪の中央値を大きく上回っています。BECはエンドポイントではなく支払い自体を標的にするからです。1回の成功した送金は、中小企業の年間利益を超える可能性があり、回収率は最初の24時間を過ぎると急激に低下します。
FBIが実際に機能すると言う統制
FBI、連邦準備制度理事会のFraudClassifierモデル、および同局の現場向けガイダンスは、同じ一連の統制に収束します。高価な技術はどれも必要ありません。すべて支払いの瞬間の規律を必要とします。
1. 支払い指示へのすべての変更を帯域外で確認する
これは単一で最も効果的な統制であり、最も頻繁に省略されるものです。
送金先の変更——新しい口座番号、新しい銀行、新しい送金指示、新しい直接預金——を求めるメールを受信した場合、そのメールに返信しないでください。メールに記載された番号ではなく、ファイルに記録された既知の番号に電話し、既知の連絡先と話して変更を確認してください。高額の変更については、電話確認と、対面または別のチャネルでの二次承認の両方を要求してください。
確認内容を文書化します：誰が誰に、どの番号に、何時に電話し、何を確認したか。そのメモは、相手方が後で受領を争った場合の監査証跡となります。
ベンダーマスターについては、3つのフィールドを追加して適用します。
- 折り返し電話の後にのみ設定される「確認済み」フラグ。電話の日付とイニシャルを含みます。
- 新規または変更された口座の保留期間——新しい口座への最初の支払いがリリースされる前に24〜48時間。
- メールだけでの銀行詳細の更新禁止——すべての変更に対して、署名付きフォームと折り返し電話を必須とし、例外は認めません。
2. 要求者と承認者を分離する
単一の人物がベンダーの作成、その銀行の変更、およびその支払いの承認をすべて行えるべきではありません。3人のチームでも、職務を分離できます。
- 人物A（多くの場合オーナーまたはオペレーション担当）がベンダー関係を承認します。
- 人物B（簿記担当）がベンダーと支払いを入力しますが、しきい値を超える送金を承認することはできません。
- 人物C（オーナーまたは第二のマネージャー）が、そのしきい値を超える送金または給与変更を承認します。
多くの会計システムでは、これは人員の問題ではなく、ワークフロー設定です。ACHおよび送金バッチの承認しきい値を有効にし、ベンダーマスターの変更に対するアラートを有効にしてください。銀行が送金の二重承認——1人のユーザーが送金を作成し、別のユーザーがリリースする——をサポートしている場合は、プロセスに5分追加されるとしても、オンにしてください。
3. メールを強化する——支払い経路の玄関口
BECはメールに存在するため、メールの衛生状態は支払いの衛生状態です。
- すべてのメールアカウントに多要素認証を必須とします。特に財務、人事、オーナーのアカウントで。
- 外部アドレスへの自動転送をブロックします。FBIのガイダンスは、転送ルールを永続化メカニズムとして繰り返し指摘しています——攻撃者はすべてのメールのコピーを外部アドレスに転送するルールを設定し、ルール作成通知を削除します。
- 外部メールと類似ドメインにフラグを立てます。組織外からのメールにラベルを付け、送信者の表示名が内部の名前と一致するがアドレスが異なる場合に警告するようにメールシステムを設定します。
- 転送および委任ルールを四半期ごとにレビューします。その30秒の監査で、誰も覚えていないルールを発見できます。
4. 給与確認の儀式を構築する
給与振込先変更詐欺は、ベンダー統制を完全に迂回するBECのバリエーションです。人事部門を標的にするからです。直接預金情報の変更要求を支払い変更として扱います。
- 従業員がメールではなく、MFAでログインした後に給与システムで変更を提出することを要求します。
- メールで要求を受信した場合は、メールに記載された番号ではなく、人事部のファイルに記録された番号に電話して従業員を確認し、以前の口座の下4桁の確認などの第二要素を要求します。
- すべての銀行変更を、変更前後の記録と確認メモとともに記録します。
5. 詐欺を正しく分類して記録する
連邦準備制度理事会のFraudClassifierモデルは、企業が詐欺イベントを一貫してタグ付けすることを奨励しています——詐欺がどのように発生したか（詐称、アカウント乗っ取り、変更された支払い情報）と、それを可能にしたもの（侵害された認証情報、折り返し電話の欠如）です。この規律は規制当局のためだけではありません。BECの試みを——失敗したものも含めて——一貫した分類で記録すると、パターンが見えてきます：どのベンダーが繰り返し詐称されるか、どの従業員が繰り返し標的にされるか、どの統制が失敗したか。
送金が誤った口座に送られた場合、IC3は即時の行動を推奨しています。
- 金融機関に連絡し、送金のリコールまたは保留を要求します。
- FBIのIC3（ic3.gov、BECを選択）または最寄りの現地事務所に連絡し、インシデントをBECとして特定し、受益者銀行と口座を含む送金詳細を提供します。
- 完全なヘッダーを含む元のメールを保存します——インラインで転送するとヘッダーが削除されるため、添付ファイルとして転送するか、.eml/.msgとしてエクスポートします。
回収は24時間以内が最も可能性が高く、その後急激に低下します。リコール要求が速く、送金詳細が完全であるほど、資金が凍結される可能性が高くなります。
今週中に採用できる最小限の確認ポリシー
20ページのポリシーは必要ありません。全員が例外なく従う1ページのルールが必要です。
- 支払いデータの変更はメールだけで行わない。すべての新しいベンダー口座または既存口座の変更には、既知の番号への折り返し電話と二次承認が必要です。
- 2,500ドルを超える送金またはACHには二重承認が必要。しきい値はご自身の取引量に合わせて調整してください。ただし、BECの中央値の送金を捉えるのに十分低く保ってください。
- 給与変更は、MFA付きの給与ポータル経由のみ。メールで開始された要求には折り返し電話も必要です。
- ベンダーマスターの変更とメール転送ルールを毎月レビューし、署名を得る。
- 資金を動かせるすべての人——オーナーを含む——に対して、四半期ごとのフィッシングおよびBECシミュレーションを実施。
これらの5行を会計マニュアルに追加し、会計システムと銀行ポータルで対応する設定を有効にすれば、FBIが被害を防いだケースに帰属する統制を実装したことになります。
支払い記録を検証可能に保つ
BECは、受信トレイが示すものと元帳が証明するものとの間のギャップを悪用します。規律ある総勘定元帳——銀行がいつ確認されたかを示すベンダーマスター、直接預金がいつ変更されどのように確認されたかを示す給与記録、誰が誰に何をリリースしたかを示す送金承認——は、そのギャップを埋めます。すべての支払い変更が電話、承認者、タイムスタンプに遡って追跡可能であれば、メールだけではもはや資金を動かせません。
財務管理を簡素化する
支払い確認は、その背後にある財務記録と同じくらい強力です。Beancount.ioは、すべてのベンダー、すべての銀行口座、すべての給与変更、すべての承認が透明で監査可能な、プレーンテキストでバージョン管理された会計を提供します——折り返し電話の規律が記憶されるだけでなく、文書化されます。無料で始めるで、次の送金詐欺の試みを確認ステップで失敗させましょう。