BEC 3.0とは何か？ 正規サービスを悪用する最新の詐欺事情に迫る

Avananはビジネスメール詐欺（BEC）がフェーズ3に移行し、正規サービスを悪用するようになったと報じた。この進化によって対処がより困難になっているという。

[後藤大地，有限会社オングス]

　Check Point Software Technologiesの子会社であるAvananは2023年6月15日（現地時間）、ビジネスメール詐欺（BEC）が3.0（フェーズ3）に移行し、正規のサービスを悪用するようになったと報じた。同社はフェーズ3の具体例として、PDF編集サービスである「Soda PDF」の悪用事例を挙げている。

BECフェーズ3に突入　既存サービス経由で詐欺を働く事例とは？

　Avananによると、BECはこれまでフェーズ1（会社の上司といった関係者になりすまして偽の電子メールを送信して送金を依頼する手法）、フェーズ2（ハッカーが組織内の人物や関係者のアカウントを侵害し、従業員になりすまして電子メールに返信する。さらに請求書にある銀行情報を改ざんし、ハッカー指定の口座に送金させるよう仕向ける手法）へと進化してきた。

　同社は「BECはフェーズ2の段階ですでに防御することが困難になっているが、フェーズ3では正規のサービスを利用して詐欺を仕掛けるようになっており、さらに阻止が難しいものになっている」と指摘する。

　Avananはフェーズ3の具体例として、Soda PDFの悪用事例を紹介した。Soda PDFはPDF編集や異なるフォーマットへの変換サービス、署名サービスなどを提供している正規のサービスだ。フェーズ3のBECではSoda PDFを使ってメッセージを送信し、そのサービスを利用してユーザーに特定の電話番号に連絡するよう促して詐欺を実行していた。

　ユーザーがこれにだまされて掲載先の電話番号に連絡すると、詐欺のオペレーターにつながるようになっている。仮にこの段階で不自然さに気が付いたとしても、既に詐欺のオペレーターは電話番号を入手してしまったため、ボイスメールや「WhatsApp」、テキストメッセージなど他の方法を使った詐欺の標的となる可能性がある。

　Avananはこうしたフェーズ3のBECが流行し始めているとし、これが増加すればユーザー側にもさらなる教育が必要となり、プロバイダーもさらに高度なツールを開発する必要があると注意喚起した。

　なお、Avananは2023年6月8日にすでにSoda PDFに対して悪用を報告している。