メール詐欺とは？

メール詐欺とは？

メール詐欺とは、メールを通じて行われる様々な詐欺や悪意のある行為を指します。こうした攻撃には、無防備な個人を標的とした単純な前金詐欺から、大手企業の経理部門を騙して不正な請求に対して支払わせることを目的とした高度なビジネスメール詐欺（BEC）攻撃まで、さまざまなものがあります。メール詐欺の攻撃者は、信頼できる権威者を装ったり、緊急性や感情的な言葉を使ったりするなど、ソーシャルエンジニアリングの戦術を用いることが多く、被害者を操作して被害者自身やその組織に不利な行動を取らせるように仕向けます。

メール詐欺の例にはどのようなものがあるか？

メール詐欺の例は数多くありますが、最も悪名高い例のひとつに、前金詐欺（「外国の王子様」メール）があります。この詐欺では、裕福な王子を装った人物が、少額の前払い金や送金手数料と引き換えに、被害者の口座に大金を振り込むことを約束します。支払いを済ませた後、約束した資金が振り込まれることはありません。

この詐欺は何世紀も前から存在しています。その起源は、1800年代後半にさかのぼり、「スペインの囚人詐欺」と呼ばれていました。このバージョンでは、詐欺師が裕福なスペインの囚人の脱獄を助けるためと称して被害者に接触し、看守への賄賂と引き換えに報酬を約束するというものでした。

詐欺は進化し、今後も進化し続けますが、その根本的な原理は引き継がれており、人の弱みに付け込みながら何かを約束することにあります。

メール詐欺の目的は？

メール詐欺は、現在のデジタル時代においてますます一般的になっている注意が必要な行為です。通常、攻撃者の主な目的は、金銭または個人データ、あるいはその両方を盗むことです。フィッシングメールや詐欺など、さまざまな手口で被害者を騙し、機密情報を送信させたり、不正な口座に資金を振り込ませたりします。メール詐欺による被害は、金銭的な損失から個人情報の盗難、風評被害まで、多岐にわたります。

メール詐欺を見破るには？

メール詐欺を見破るのは難しいですが、一般的な特徴には以下のものがあります：

• メッセージがメール認証チェックに合格していない。Sender Policy Framework（SPF）、DomainKeys Identified Mail（DKIM）、Domain-based Message Authentication Reporting and Conformance（DMARC） は、メールの送信元の認証に使用することができます。いずれのチェックにも合格していないメールは、不正なメールである可能性があります。
• 緊急性やタイムリミットが設定されている。もう一つ注意すべき特徴は、すぐに行動を起こさなければ悪い結果になると主張するような、緊急性や脅迫性のある文言が使用されていることです。攻撃者は、被害者に考える隙を与えず、すぐに行動を起こすよう、不安を煽る戦術を使うことがよくあります。
• 誤字、脱字、ミス。メール本文に、文法の不備、誤字・脱字、誤った文章構成など、間違いが散見されます。

これらはメール詐欺の一般的な特徴であるものの、攻撃者は時間の経過とともにますます巧妙化しており、検出が困難な説得力のあるメールの作成方法を学習しています。特に、機械学習による強力なチャットボットを利用できるようになったことで、攻撃者は以前よりも高い確率で自然なメール文章を生成できるようになっています。

企業がメール詐欺を阻止する方法は？

メール詐欺は今後も続くものであり、啓蒙教育プログラムでは完全に排除することはできません。しかし、メール詐欺攻撃の成功率を下げるために役立ついくつかのベストプラクティスとメールセキュリティ技術があります。

• メールに不審な点がないか評価する。これには、メールのヘッダー、送信者名、またはメールアドレスをよく見ることが含まれます。さらに、メール本文には、マルウェアにつながる可能性のある添付ファイルやリンク、その他の不正なリンクが含まれている場合があります。原則として、メールを開封する際は、一見正当なメールも、慎重を期してください。
• メールで個人情報を共有しない。個人情報には、社会保障番号、銀行口座情報、パスワードなどが含まれます。
• スパムをブロックする。多くのメールプロバイダーはスパムフィルターが組み込まれていますが、サードパーティのフィルタリングサービスを利用すれば、さらに包括的な保護が可能です。他にも、メーリングリストやニュースレターの配信を停止する、メールアドレスを非公開にするなどの方法でスパムをブロックすることができます。
• メールセキュリティプロトコルを組み込む。SPF、DKIM、DMARCなどのメール認証ツールを使うことで、メールの送信元の確認が可能になります。ドメイン所有者がこれらのレコードを作成することで、攻撃者はそのドメインになりすましてドメインスプーフィングしにくくなります。
• ブラウザー分離サービスを利用する。ブラウザー分離技術は、ブラウザのコンテンツをローカルデバイスから分離して実行し、悪意のあるスクリプトや危険なダウンロードから組織を保護する技術です。
• セキュアWebゲートウェイでトラフィックをフィルタリングする。セキュアWebゲートウェイ（SWG）を設定することで、ユーザーがファイルをダウンロードしたり、機密データを共有したりするのを防ぐことができます。SWGは、データやトラフィックに既知のマルウェアがないか検査し、あらかじめ設定されたセキュリティポリシーに従ってメールをブロックします。
• メール詐欺キャンペーンを事前に把握する。メールセキュリティプロバイダの中には、メール詐欺を検知してブロックすることができるものもあります。インターネットを事前予防的にスキャンして攻撃インフラや攻撃キャンペーンを探し、メール詐欺を見つけて、侵害されたメールアカウントやドメインを可視化します。Cloudflare Email Securityを使用したメール詐欺の阻止の詳細はこちらを参照してください。