【図解】ビジネスメール詐欺やフィッシングとは？従業員が注意すべきサイバー攻撃のパターン解説

サイバー攻撃に用いられる代表的な「手法（手口）」

まずは、従業員が日常業務の中で直面しやすい、サイバー攻撃の代表的な「手法（手口）」を3つ紹介します。

メール機能を悪用して関係者を装う『なりすましメール』

なりすましメールとは、送信元の情報を偽装する手法です。知り合いや信頼できる取引先、実在する公的機関などからのメッセージだと信じ込ませます。スパムやフィッシング攻撃などで広く使われています。

攻撃者はメールのヘッダ情報を巧妙に書き換えます。そのため、一見しただけでは偽物だと見分けるのが困難です。受信者が「見覚えのある差出人名」を鵜呑みにしてしまう心理を悪用します。

近年では、生成AIを悪用して作成された、翻訳特有の違和感がない極めて自然な日本語のメールも急増しており、文章だけで見抜くことがより難しくなっています。

通常、なりすましメールは受信したり本文を開いたりしただけでは、被害に遭うリスクは低いとされています。しかし、メールソフトの脆弱性を突くケースもあるため油断は禁物です。特に、本文内のリンク（URL）をクリックしたり、添付ファイルを開いたりすると危険です。これらのアクションが、ウイルス感染や情報漏洩などの重大なリスクにつながります。

巧妙な偽サイトで重要情報を盗み出す『フィッシング詐欺』

フィッシング詐欺とは、偽のWebサイト（フィッシングサイト）へ誘導する手口です。有名企業やサービスを装い、ログインID、パスワード、クレジットカード情報などの個人情報をだまし取ります。

「アカウントの更新手続きをお願いします」といった、本物そっくりの案内メールや通知が届きます。そこから偽のホームページへ誘導し、ユーザー自身の手で重要情報を入力させます。

後日、アカウントのパスワードが勝手に変更されるケースがあります。また、オンラインバンキングから不正送金されることもあります。これらによって、初めて被害に気づくケースも少なくありません。

最近では電子メールだけでなく、LINEなどのコミュニケーションツールも悪用されています。SNSのダイレクトメッセージ（DM）を悪用した手口も急増しています。

ビジネスの業務連絡を装って金銭を騙し取る『ビジネスメール詐欺（BEC）』

これは、巧妙に細工された偽の電子メールを送り付ける詐欺手口です。取引先や自社の経営層などになりすまし、従業員を騙して金銭を振り込ませます。

例えば、取引先との請求書のやり取りを盗み見（盗聴）されるケースがあります。その上で、入金直前に「振込先口座が変更になった」と偽の請求書を送ってきます。あるいは、社長・役員などの幹部になりすますパターンもあります。「極秘のプロジェクトのため、大至急指定の口座へ送金してほしい」と指示を出します。

ここでも生成AIによる自然な文章作成や、経営層の声を模した「ディープフェイク音声」を組み合わせるなど、手口の高度化が進んでいます。

特に、経営層や弁護士など、組織において拒否しにくい強い立場を騙るケースが目立ちます。そのため、従業員が詐欺だと気づかずに指示に従ってしまう危険性があります。

サイバー攻撃に用いられる代表的な「種類（パターン）」

次に、攻撃者がどのようなターゲットや目的を持って攻撃を仕掛けてくるのか、代表的な「種類（パターン）」を3つ紹介します。

特定の組織や個人を明確な意志で狙い撃つ『標的型攻撃』

標的型攻撃とは、特定の個人や組織（企業・官公庁など）を明確なターゲットとして定めて行われるサイバー攻撃です。不特定多数を狙うものではありません。その目的は、情報の窃取やシステムの破壊です。

ターゲットの業務内容や関心事に合わせた「業務連絡」に見せかけたメールを送ってきます。「業務連絡」に見せかけたメールで、URLのクリックや添付ファイルの開封を誘導します。これにより不正プログラム（マルウェア）に感染させ、内部からIDやパスワードを盗み出します。

また、ターゲットが日常的にアクセスするWebサイトをあらかじめハッキングする手法もあります。サイトを閲覧しただけでウイルスに感染させるもので、「水飲み場型攻撃」と呼ばれています。

セキュリティの薄い取引先を足がかりにする『サプライチェーン攻撃』

サプライチェーン攻撃とは、関連企業を最初のターゲットにする攻撃です。強固なセキュリティを持つ大企業（本命の標的）を直接狙うわけではありません。その取引先、委託先、グループ会社など、セキュリティ対策が手薄なところを狙います。

まず中堅・中小企業などの関連企業に不正侵入します。そこを「踏み台（足がかり）」にして、ネットワーク経由で本命の標的企業へと侵入します。

自社がどれだけ厳重なセキュリティ対策を講じていても安心できません。つながりのあるサプライチェーンのどこか一箇所に脆弱な穴があれば、そこから侵入されます。結果として、芋づる式に重大な被害を受けるリスクがあります。

データを人質に取り、復旧と引き換えに金銭を要求する『ランサムウェア攻撃』

ランサムウェアとは、身代金を意味する「Ransom（ランサム）」と「Software（ソフトウェア）」を組み合わせた造語です。非常に悪質なマルウェアの一種です。

これに感染すると、PCやサーバーのアクセスが制限され、ファイルやデータが暗号化されて使用不能になります。

かつては不特定多数にばらまき、データを暗号化して復旧費用を要求する手法が主流でした。しかし、近年のランサムウェア攻撃は、特定の企業を狙い撃ちするケースが増えています。

さらに手口も悪質化しており、データの暗号化だけでなく、「盗み出した機密情報を暴露する」と脅す『二重恐喝』や、「顧客や取引先に直接連絡して圧力をかける」といった『多重恐喝』が主流となっています。そのため、単にバックアップからデータを復元すれば解決するとは限らない、極めて深刻な脅威となっています。

最後に

サイバー攻撃による侵入の手口は巧妙化しています。もはや技術的な対策だけでは限界があります。そのため、現在のセキュリティ対策は「多層防御（組織全体での対策）」が重要視されています。

外からの侵入を防ぐ「入口対策」だけでは足りません。万が一の侵入に備える「内部対策」や、情報の外部流出を阻止する「出口対策」を組み合わせる必要があります。

しかし、外からの侵入を防ぐ「入口対策」の重要性が下がったわけではありません。そして、その入口の最前線に立っているのは、システムを利用する「組織の従業員一人ひとり」です。

皆様の適切な判断と対応こそが、組織を守る最大の防壁となります。