情報セキュリティマネジメント 2019年 秋期 午前（科目A） 問01
問題文
BEC (Business E-mail Compromise)に該当するものはどれか。
選択肢
ア：巧妙なだましの手口を駆使し、取引先になりすまして偽の電子メールを送り、金銭をだまし取る。（正解）
イ：送信元を攻撃対象の組織のメールアドレスに詐称し、多数の実在しないメールアドレスに一度に大量の電子メールを送り、攻撃対象の組織のメールアドレスを故意にブラックリストに登録させて、利用を阻害する。
ウ：第三者からの電子メールが中継できるように設定されたメールサーバを、スパムメールの中継に悪用する。
エ：誹謗中傷メールの送信元を攻撃対象の組織のメールアドレスに詐称し、組織の社会的な信用を大きく損なわせる。
🔒 解説は解答すると表示されます
ビジネスメール詐欺【情報セキュリティマネジメント解説】
正解の理由
ア が正解です。BEC（Business E-mail Compromise：ビジネスメール詐欺）は、取引先や上司になりすまして電子メールで巧妙に信頼を得て、金銭や機密情報をだまし取る「標的型の詐欺」です。ここで重要なのは「標的を絞り」「業務の流れ（支払いや振込）の隙を突く」点です。選択肢の内容を照らすと、金銭をだまし取る目的で取引先になりすます点が一致するため、アが該当します。
（補足：フィッシング（phishing：電子メールなどを使って個人情報をだまし取る手口）と比べて、BECはより個別具体的で業務文脈を利用する点が特徴です。）
解法ステップ
- 問題のキーワードを押さえる：「BEC」「金銭をだまし取る」「取引先になりすます」などの意味を確認する。
- 各選択肢の「目的（金銭か妨害か名誉毀損か）」「手法（標的型か大量攻撃か技術的悪用か）」を比較する。
- BECの定義（標的型、ビジネス文脈、金銭詐取）に最も合う選択肢を選ぶ。
短く言えば、「誰が何を目的に、どう仕掛けているか」を意識して選びます。
選択肢別の誤答解説
- ア：正解。取引先になりすまして業務手続きを装い、金銭をだまし取る典型的なBECの説明です。
- イ：大量送信して受信側のアドレスをブラックリスト化させ、利用不能にするという説明です。これは「メール爆撃」や拒否サービス（DoS）に近い攻撃で、目的が妨害であり、BEC（金融詐取）とは目的が異なります。
- ウ：第三者の中継可能なメールサーバ（オープンリレー）を悪用してスパムを流す事例です。技術的な中継悪用であって、標的の取引関係を装う標的型詐欺（BEC）とは別カテゴリです。
- エ：送信元を詐称して誹謗中傷を送ることで信用を失わせる行為です。なりすましの一種ではありますが、目的が「 reputational damage（評判毀損）」であり、金銭詐取を主目的とするBECとは区別されます。
よくある誤解
- 「BECは単なるスパムや一般的なフィッシングと同じ」は誤り。BECは個別組織の業務フローを狙う標的型で、文面やタイミングが非常に巧妙です。
- 「送信元を詐称するだけの手口がすべてBEC」ではない。単なるヘッダ詐称や大量送信は目的や手法が違い、BECは業務上の信頼関係を悪用する点が鍵です。
- 「技術対策だけで防げる」は危険。SPF/DKIM/DMARCなどの技術は有効ですが、電話での確認や承認プロセスなど運用ルールも必須です。
補足コラム
-
BECの防止に有効な実務対策（職場での運用例）
- 振込先変更は必ず「既知の電話番号で本人確認」する。メールだけでの承認禁止。
- 高額振込は複数人の承認ルールを設ける（職務分掌）。
- 取引先の口座変更は事前手続き（口座振替台帳や契約書の更新）を必須にする。
- 社員教育：経理や総務など資金移動に関わる部署への定期的な訓練。実例を示すと効果的。
-
技術的対策（用語の説明付き）
- SPF（Sender Policy Framework）：送信を許可するメール送信元サーバをDNSで指定し、なりすましを検出しやすくする仕組み。
- DKIM（DomainKeys Identified Mail）：送信ドメインにデジタル署名を付与し、改ざんや詐称を検出する技術。
- DMARC（Domain-based Message Authentication, Reporting & Conformance）：SPF/DKIMの結果をもとに受信側に扱い方を指示（隔離・破棄）し、レポートを受け取る設定。
- 多要素認証（MFA：Multi-Factor Authentication）：アカウント乗っ取りを防ぐためにパスワード以外の認証を必須にする。
これらを組み合わせて「技術＋運用＋教育」で対策するのが実務的です。
FAQ
Q1: BECに遭ったらまず何をすべきですか？
A1: 支払いを即座に停止し、社内のセキュリティ担当や上司に報告。銀行に連絡して可能なら振込停止・凍結の依頼をする。その後、警察や関係機関へ相談します。
A1: 支払いを即座に停止し、社内のセキュリティ担当や上司に報告。銀行に連絡して可能なら振込停止・凍結の依頼をする。その後、警察や関係機関へ相談します。
Q2: どんなメールが怪しい兆候ですか？
A2: 「急ぎ」「秘密扱い」「振込先をすぐ変更してほしい」「普段と違う文体や差出人アドレス」「署名の欠落」が代表的な兆候です。
A2: 「急ぎ」「秘密扱い」「振込先をすぐ変更してほしい」「普段と違う文体や差出人アドレス」「署名の欠落」が代表的な兆候です。
Q3: SPF/DKIM/DMARCだけで十分ですか？
A3: 部分的に有効ですが、攻撃者は正規アカウントを乗っ取ったり似たドメインを使うので、運用ルールと教育が不可欠です。
A3: 部分的に有効ですが、攻撃者は正規アカウントを乗っ取ったり似たドメインを使うので、運用ルールと教育が不可欠です。
関連キーワード: BEC、ビジネスメール詐欺、なりすましメール、標的型詐欺、SPF、DKIM、DMARC、多要素認証、フィッシング、支払踏み倒し対策、振込確認ルール
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！