CEO詐欺：経営幹部なりすまし詐欺の仕組み

主な手口

• • CEO またはCFOの実際のアドレスになりすまし、文字が1つ異なるか、「company.com」の代わりに「companynme.com」のような類似のドメイン名を使用した、なりすましまたはそっくりなメールアドレスからメールを送信する。
• • 秘密買収、緊急送金、または営業時間外または通常の確認手順を迂回して即座の対応が必要な時間に敏感なビジネス事項を主張することで、人工的な緊急性を生成する。
• • 新しく開設された銀行口座、暗号資産ウォレット、またはオフショア口座への送金を要求し、多くの場合、財務担当者にとって妥当に見える仕入先支払い、従業員ボーナス、または決済手数料を装う。
• • LinkedIn、企業ウェブサイト、およびソーシャルメディアから収集した諜報情報を使用して、特定の従業員、プロジェクト、または財務詳細を参照し、その要求が正当で十分な情報を得ていると見せる。
• • 他の従業員との議論を避けるよう被害者に指示し、買収協議、規制上の問題、または法的問題が原因で事項が機密であると主張して絶対的な秘密を保つよう指示する。
• • 「弁護士」または「会計士」になりすまし、第三者から追加の圧力メールまたは電話で、金銭要求の緊急性と正当性を強化する。

見分け方

• 経営幹部からの通常と異なる送金、特に新しいベンダーまたは口座への送金、または明確なビジネス正当性なく標準的な支払い承認プロセスを迂回するよう要求するメール。
• 既知の経営幹部のメールとほぼ同一だが、微妙なスペル変更、別のドメイン拡張機能を含む、または会社ドメインの代わりに外部メールサービスを使用する送信者アドレス。
• 会計、法務、またはそのような取引を通常確認する他の部門との協議を避けるよう指示する、極めて機密性の高い、緊急性の高い、または時間に敏感な要求。
• 経営幹部からのメール内の文法、トーン、または形式の矛盾（異常なフレーズ使用、連絡先情報の欠落、企業リーダーシップが通常使用する標準的なメール署名の欠落など）。
• なじみのないベンダー、新しい被支払人、または異なる国の口座への送金要求、特に要求している経営幹部が通常は他のチャネルを通じて通信するか、以前に送金要求をしたことがない場合。
• 取引の詳細を確認するか、偽の法的文書を提供することで、圧力と正当性を追加する、弁護士、会計士、またはビジネスアソシエイトを装った後続通信。

身を守る方法

• 指定された閾値（10,000ドル以上）を超えるすべての送金について、メールで提供された電話番号ではなく、既知の電話番号による音声確認を要求する、義務的な確認プロトコルを確立する。
• すべての経営幹部のメールアドレスと通信設定の企業全体リストを作成し、代替チャネル（既知の番号への電話、対面確認、またはセカンダリメール）による要求の確認を従業員に訓練する。
• 特に財務アクセス権を持つアカウントにおいて、すべてのメールアカウントに多要素認証を実装し、メールドメイン認証標準（SPF、DKIM、DMARC）を有効化してメールなりすましを防止する。
• 送金要求は常に異なる部門の少なくとも2人の従業員による承認を要求し、メール通信から分離した文書化された承認証跡を持つ方針を確立する。
• CEO詐欺に特に焦点を当てた定期的なセキュリティ認識トレーニング（なりすまし通信を特定し、確認手順に従う従業員の能力をテストするシミュレーション釣り魚メールおよびシナリオを含む）を実施する。
• メール転送ルール、予期しないログイン位置、または経営幹部アカウントへの新しいデバイスアクセスなどの異常なアカウント活動を監視し、詐欺が発生する前にアカウント侵害の兆候を検出する。

実例

よくある質問

通報窓口 — 日本

お住まいの地域でこの詐欺を通報できる公式窓口。