国内における調査では、全体の約4割がビジネスメール詐欺に関わると思われるメールを受信したことがあり、そのうち8.7％は実際に送金し、被害に遭ってしまったとのことでした。驚くべきは、その送金被害額の大きさで、被害に遭った人の約2割が1,000万円～2,000万円、そして1億円以上を送金してしまったという被害も9％に達しています。

山崎氏は、取引先になりすました送金依頼詐欺のおもな手口として、右図のようなシナリオを挙げました。

また、経営幹部になりすましたCEO詐欺のおもな手口は右図の通りです。

ビジネスメール詐欺の中でも、CEO詐欺は2017年から2018年にかけて増加しており、2017年の第1四半期から2018年の第1四半期までの1年間で、4倍に増えています。山崎氏は、CEO詐欺について「1つの組織を標的としているので、内部のやりとりだけで完結するため、取引先など他社になりすますよりも容易に実行できる」ことが、近年の増加の理由を解説しました。

サイバー犯罪者が、メールを盗み見るために使用する代表的な手口が、標的の端末をキーボードで入力した情報を盗む不正プログラム（キーロガー）に感染させて、認証情報や内部情報を盗み取る「キーロガーなどによる情報窃取」と、クラウドメールサービスを利用している企業に対してフィッシングメールを送りつけ、ニセのWebサイトなどに誘導してメールアカウントの認証情報を盗み取る「フィッシング詐欺による認証情報詐取（クレデンシャルフィッシング）」です。

その中でも近年増加傾向にあるのが、「フィッシング詐欺による認証情報詐取」で、トレンドマイクロの調べによれば、2018年上半期にフィッシング詐欺サイトに誘導された国内のインターネット利用者数は、前期と比較して約2.7倍に拡大しています。「フィッシング詐欺による認証情報詐取」では、サイバー犯罪者がフィッシングメールでクラウドメールサービスの利用者をニセのログイン画面に誘導し、ユーザーがニセのログイン画面であることに気づかずに入力してしまったメールアドレスやパスワードを盗み取る、というわけです。

取引先や経営幹部を騙ってメールを送りつける「なりすましメール」では、返信先（Reply-To）の偽装、怪しいWebメール、DMARC認証のすり抜けを狙った正規のドメインに似せたニセのドメインの利用、そして送信元（from）の利用といった手口がよく用いられています。とりわけ、簡単に改ざんすることが可能な送信元（from）や返信先（Reply-To）の偽装は、なりすましメールで非常によく使用される手法で、全体の96％を占めるほどです。

山崎氏は、ビジネスメール詐欺による被害を防ぐには、組織的な対策と技術的な対策の両方が必要である、と述べた上で、右図のような対策ポイントを挙げました。

キヤノンITソリューションズが、ビジネスメール詐欺対策に有効なソリューションとして提供しているサービスが「Inbound Security for Office 365」です。

「Inbound Security for Office 365」は、2018年12月3日から「GUARDIANWALL Cloudファミリー」のひとつとして、Office 365ユーザー向けに提供されています。同サービスはトレンドマイクロ「Trend Micro Cloud App Security」を活用しており、クラウドアプリケーションとの連携によってメールやアップロードされたファイルの検査が可能です。

「Inbound Security for Office 365」で利用している「Trend Micro Cloud App Security」は、非常に高い検知能力を備えており、2017年にOffice 365標準のセキュリティ機能をすり抜けた脅威メール約340万件以上を検知しています。

このワークショップ内で、先にも述べられていますが、ビジネスメール詐欺対策には「メール盗み見対策」と「なりすましメール対策」が必要です。

「メール盗み見対策」では、トレンドマイクロのクラウド型セキュリティ基盤「TREND MICRO SMART Protection Network」が収集したインターネット上のさまざまな脅威情報を元にした、メール本文や添付ファイルに含まれるURLの危険度を判定して不審なURLを検出するとともに、メールや添付ファイルに記載されているURLが誘導するログイン画面が正規のログイン画面であるかどうかを精査します。さらに、これらの検査でも検知できなかった未知の脅威については、サンドボックスによる動的解析を行うことで、メールに記載されたURLが安全かどうかを判断することが可能です。

なお、ニセのログイン画面の検知では、メールに記載されたURLが誘導するログイン画面のファビコン、ログインボタン、入力欄などを解析し、偽装される頻度の高いログインページ（Office 365のログイン画面など）と比較するという、画像処理と機械学習を組み合わせた解析によって、ログイン画面の真偽を判定しています。

「Inbound Security for Office 365」における「なりすましメール対策」の大きな特徴は、機械学習を活用したなりすましメールの検出です。機械学習によって、メールのヘッダでねつ造されたドメインが使用されていないか、返信先の偽装が行われていないか、メール本文に緊急度の高さを感じさせる表現や、財務的な含みを持たせる表現、行動を喚起させるような表現といった、なりすましメールによく用いられる文章が使われていないかを検出し、危険なメールかどうかを判定します。

このように、「メール盗み見」と「なりすましメール」をおもな手口とするビジネスメール詐欺では、単一の対策ではなく、「Inbound Security for Office 365」のようにさまざまな防御を組み合わせた、多層防御が有効です。

「Inbound Security for Office 365」は、Office 365のクラウドアプリケーションとAPIで連携します。そのため、従来のゲートウェイ型クラウドセキュリティのように、導入にあたってDNSの切り換えやメールを変えるといったネットワークの設定変更の必要がなく、比較的簡単に導入することが可能です。

障害が発生した場合、ゲートウェイ型クラウドセキュリティではメール配送を停止してしまうため、業務に大きな支障を来しますが、「Inbound Security for Office 365」の場合は障害によって停止してもメール配送には影響を与えません。

また、組織内部でやり取りされるメールはゲートウェイを通過しないため、ゲートウェイ型クラウドセキュリティではスキャンの対象外となってしまいますが、「Inbound Security for Office 365」なら内部メールもスキャンできます。同様に、SharePointやOneDriveもゲートウェイ型クラウドセキュリティでは別途対策が必要ですが、「Inbound Security for Office 365」なら追加料金なしでスキャン可能です。