ベンダー詐称詐欺：企業を守る方法

主な手口

• • わずかに変更されたメールアドレス（例：正規の企業ドメインの代わりに[email protected]）またはベンダーの実際のURLに密接に模倣するドメイン名（例：「supplier.com」を「suppIier.com」または「supplier-inc.com」に変更）でメール送信します。
• • 「銀行口座の変更」「システムアップデート」「税務コンプライアンス」または「M&A活動」による緊急支払いリダイレクトを要求し、時間的プレッシャーを作成して通常の検証手順をバイパスします。
• • メール侵害またはソーシャルエンジニアリングで発見された以前のトランザクションから実際の請求書形式、支払い条件、発注書番号、価格をコピーして、正規のベンダー通信を複製します。
• • 実在するプロジェクト、期限、または経営者の名前に言及したスピアフィッシングメールを通じて特定の従業員をターゲットにし、通信を本物で時間的に敏感なものにします。
• • ACH送金またはネット送金などの正規の支払い方法を使用してベンダー名義の銀行口座に送金しますが、資金が清算された後の回収を極めて困難にするために異なる国に所在する口座に送金します。
• • 架空のベンダーサポートラインから複数のリマインダーメールまたは電話でフォローアップし、架空の請求書に関する質問に企業運営についての驚くほど正確な詳細で回答しながら、プレッシャーと緊急性を高めます。

見分け方

• 通常のベンダー支払いより大幅に大きい金額の請求書リクエスト、またはベンダーの通常の請求パターンまたは頻度と異なる複数の請求書を同時に支払うリクエスト。
• 正規ベンダーに非常に近いがわずかなスペルミスを含む、異なる拡張子（.comではなく.net）を使用する、または企業ドメインではなく無料メールサービスを使用するメールアドレスまたはドメイン名。
• 支払い方法の変更、承認ベンダーリストへの新しい給与支給者の追加、または公式レターヘッド、発注書、またはベンダーからの複数当事者承認なしに新しい銀行口座への支払いリダイレクトの突然のリクエスト。
• 確立された調達ワークフローをバイパスしながら、特に詳細な期限、システムメンテナンスウィンドウ、または一度限りの支払い機会を引用して、人工的な緊急性を作成する通信。
• そのベンダーとの履歴上のトランザクション金額と一致しない請求書金額、異常な品目を含む、またはそのベンダーの正規請求書に通常見られる詳細な説明と品目化がない請求書。
• メールをIT セキュリティチームに転送するときに無効に見えるメールヘッダー、メタデータ、またはデジタル署名、またはベンダー通信を通常受け取る特定の経理部門の連絡先者ではなく汎用企業メールアドレスに送信されたリクエスト。

身を守る方法

• SPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）、DMARC（Domain-based Message Authentication, Reporting and Conformance）を含むメール認証プロトコルを実装して、ベンダーまたは内部アドレスからのなりすまし メールを検出・フラグ立てします。
• 支払い変更リクエスト、新しいベンダーのオンボーディング、または口座リダイレクトの処理前に、公式企業ウェブサイトまたは以前の請求書から得られた電話番号を使用して直接ベンダーに連絡する必須検証プロトコルを確立します。
• 承認されたベンダーリスト、支払い口座、連絡先情報を安全なシステムで一元化し、変更が記録される前に複数レベルの認可が必要なベンダー管理ソフトウェアを使用します。
• 経理部門と財務スタッフに四半期ごとにベンダー詐称戦術についてトレーニングします。フィッシング認識、メール検証技術、疑わしい通信をフラグ立てするための手順を含め、最初に支払いを処理することなく対応します。
• 新しいベンダー、閾値金額を超える送金（通常、企業規模に応じて5,000ドルから50,000ドル）、または支払い方法変更には二重承認要件を実装し、別の部門またはマネージャーからセカンドオピニオンを得ます。
• 銀行口座と会計ソフトウェアで異常な活動（新しい口座への支払い、国際銀行への送金、通常範囲を大幅に超える請求書金額を含む）を監視し、処理から24時間以内にフラグ立てられたトランザクションを確認します。

実例

通報窓口 — 日本

お住まいの地域でこの詐欺を通報できる公式窓口。