取引先のセキュリティ侵害から発生するビジネスメール詐欺 (BEC) の実態

Jan 28, 2021

マクニカネットワークス株式会社
勅使河原 猛政本 憲蔵

Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

About Usシセニ キ勅ア ュ使
アリナ テ河リ ィ原スサト ー猛ビス
室セセン キ政タ ュ本ーリ
長 テ憲
ィ蔵研
究セン
ター
共同分析：伊藤忠商事株式会社

サンドボックス、EDR、ハニーポット、メールセキュリティなどの対策技術に精通

官公庁 非常勤職員

海外のセキュリティ対策技術をリサーチ

笹川平和財団サイバーインテリジェンス研究会 研究員

Macnica-CIRT

濱せっく 運営委員
Macnica-CIRT
twitter.com/anemone_fish
Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

2

アジェンダ◼事案１（フリーメールサービスの悪用）◼事案２（man-in-the-email）◼今まで対処した事案から学んだこと◼インシデント対応と対策

Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

3

事案１（フリーメールサービスの悪用）

Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

攻撃者から振込口座変更の依頼*****@dr.comはmail.comで取得可能なフリーメールアドレスで、BECでよく使われる。

BECでは様々な理由を付けて口座の変更を依頼してくる。
「監査のために今までの口座が使えない」「経済制裁されている国とのやり取りが発生し口座が一時的に凍結されている」「COVID-19 による経済封鎖により銀行口座が一時的に使えない」「子会社の口座に振り込んで欲しい」「追加料金（手数料や税金など）がかかることが判明したから別口座に振り込んでほしい」
Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

5

ヘッダに残る痕跡← 取引先のメールアドレス← フリーメールアドレス (@dr.com)← フリーメールアドレス (@yahoo.com)

2つのフリーメールアドレスは、どちらも攻撃者によって取得されたものと思われる。

Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

6

Yahoo.comメールにおけるSend-onlyアドレスの設定

Send-only email addressの設定からFromヘッダに指定するメールアドレスを追加後、確認メールが送られるので、メール内のリンク先へアクセスし設定が有効化される。

Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

7

攻撃者の手口（フリーメールの悪用）

アカウント開設
Send-only email addressの設定

攻撃者

アカウント開設

メールアカウントの乗っ取り

hbol***@yahoo.com

sales.*******@dr.com
B社（売り手）正規のやり取りB社になりすましてA社に送信
口座変更の依頼

B社に返信したつもりのメールReply-Toヘッダにより誘導されるA社（買い手）Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

A社とB社は初めて取引する関係
約200万円の取引
8他にも侵害されていた組織を確認“Forgot password?”のリンクから、犯人のメールアドレス(hbol***@yahoo.com)に紐づいている他のメールアドレスを調査したところ、B社の他にも、メールアカウントが侵害された企業を確認。

業種：
プラント建設航空機部品の卸売
射出成形製造光学機器製造輸送

B社のメールアドレス

企業所在国：
台湾
マレーシア
ベトナム
インドネシアイタリア
米国

Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

9

事案２（man-in-the-email）

Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

調査のきっかけ
A社とB社は初めて取引を行う関係であり、前払いの取引であったA社はB社が販売する製品を急ぎ購入するが必要があった

A社
（買い手）

納期になっても製品が届かないことから発覚

B社
（売り手）

製品の購入手続き

攻撃者

Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

11

攻撃者から振込口座変更の依頼

正規の口座通知から約4時間後に、攻撃者から口座変更の依頼がA社に届いた

Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

12攻撃者の手口（man-in-the-email）

ドメイン取得メールインフラの構築

攻撃者

ドメイン取得メールインフラの構築

メールアカウントの乗っ取り

eon-t.com
nom-i.com

A社とのやり取りと思い込む

noc-t.com
cou-m.com

B社（売り手）正規のやり取りB社とのやり取りと思い込む

A社（買い手）Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

13

B社（取引先）のセキュリティ成熟度（OSINTによる調査）

Webメール・ログイン画面（社員用）

レガシーなプロトコルの使用

httpsへリダイレクトされないWebメール

その他、脆弱性を抱えてそうなERPのサーバなどが見つかり、セキュリティ対策の成熟度が低いことが伺える。

Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.
Webメール・ログイン画面（管理者用）

14

攻撃者のインフラ
多数の類似ドメインを確認
業種：
メディア、家畜飼料、法律事務所、ヘルスケアなど
企業所在国：
露、米、中、仏、英、マレーシア、コソボ、バーレーン、レバノン、エジプトなど

Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

15

困難な帰属（分析から得られたタイムゾーン情報）
WHOIS情報

UTC + 0100（ナイジェリア）

UTC + 0530（インド）

メールヘッダUTC + 0200

PDFファイル（偽の請求書）のメタデータ

UTC - 0400

Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

16

今まで対処した事案から学んだこと

Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

今まで対処した事案から学んだこと◼取引先のセキュリティ対策レベルが低いと、メール内容が盗み見され、詐欺に遭う。（自分たちのセキュリティ対策レベルが低いと、メール内容が盗み見され、取引先に多大な迷惑がかかる。）◼初めて取引する相手とのやり取りが狙われやすい。
◼英語で書かれた詐欺メールが圧倒的に多いが、日本語の事案も散見される。
◼SPF Passすることも多く、Secure Email Gateway (SEG)で検知することは困難。
◼IT部門の観点だけで対策するだけでは不十分で、会計部門の観点でも対策が必要。
Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

18インシデント対応と対策

Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

インシデント対応
会計部門・法務部門CSIRT◼ 調査と分析◼ 一連のメールの証跡保全◼ メールアカウントの侵害の有無の調査◼ 外部ドメインへの不審なメール転送設定◼ 不審なメール振り分けルール◼ 不正ログオンの分析◼ マルウェア感染の有無の調査◼ 上記被害が確認された場合、パスワード変更など攻撃者の足掛りを削除するなどの対処◼ 攻撃者ドメインのテイクダウン◼ 攻撃者ドメインのセキュリティコミュニティーへの共有◼ 送金の取り戻し◼ 送金の取り戻すために金融機関・現地捜査機関へ連絡◼ 取引先との交渉と按分◼ 自組織が被害者の場合、確認できた事実をもとに、取引先と被害額を按分することが可能◼ 逆の場合、被害額の按分を求められる場合もあります。

BECのインシデント対応は、複数のステークホルダーと連携して動く必要がある

Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

20

対策
OSINTによるター

メールアカウント

メールボックスのゲティング

へ不正ログイン偵察

詐欺メールの送付

送金の説得

攻撃ステップ

対策

メールアカウントへ不正ログイン（メールアカウントの乗っ取り）-多要素認証レガシープロトコル（IMAP/POP）の停止
ブルートフォース・パスワードスプレー攻撃対策
フィッシング対策
継続的なセキュリティ意識トレーニング（eラーニングなど）

メールボックスの偵察-

メール転送ルールの監視や制限
不審なログインの監視

詐欺メールの送付

取引先を装った攻撃者に騙されないために：- メール受信ポリシーの強化- 継続的なセキュリティ意識トレーニング
攻撃者が自組織を装って取引先に被害を与えないために：- DMARC設定- 自組織の類似ドメインの検索- 口座変更伝達にポリシーの明文化

送金の説得

-

口座登録や変更時に、口座が正規なものであることを確認
Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

21

ご清聴ありがとうございました。

共同分析：伊藤忠商事株式会社

Copyright © 2004-2020 Macnica Networks Corp. All Rights Reserved.

22