金融サービス業界におけるメール詐欺 2023：ベンダーなどを装う攻撃が 137% 増

Vendor Email Attacks Surged by 137% in Financial Sector in 2023

2024/01/17 InfoSecurity — 世界の金融サービス業界においては、2023年を通じて VEC (Vendor Email Compromise) 攻撃が 137% 増加したと、Abnormal Security の最新データが示している。 これらの脅威の大部分は、ソーシャル・エンジニアリングによる電子メール攻撃に関連するものであり、毎週平均して 1000 メールボックスあたり 200 件の、高度な攻撃が金融業界では発生しているという。2023年には、特に１月下旬と、9月下旬、12月中旬に攻撃のピークがあった。

VEC とは、サプライヤーやベンダーなどのビジネス・プロバイダーに、脅威アクターたちがなりすまし、金銭の授受を操作するものである。このような、正当性を装う攻撃の発見は困難な場合が多く、組織に多大な財務的損失をもたらす可能性がある。

今日の最新レポートの中で Abnormal Security は、数百万ドルを標的とした VEC 攻撃の事例を報告しており、ある事例としては $36m という途方もない金額が示されている。

また、このレポートに含まれる事例では、オーストラリアの金融持株会社に対する、$1.4m の VEC 攻撃の複雑さが説明されている。この脅威アクターは、合法的な通信パターンと請求書を活用し、無害を装う電子メールにより、銀行口座の詳細を変更することに成功した。

また、金融サービス業界では、2023年に BEC (Business Email Compromise) 攻撃が 71% も増加している。これらの攻撃は、サイバー犯罪者が幹部や従業員になりすまし、給与や銀行に関連する詐欺を仕組むというものである。

悪意のリンクや添付ファイルを用いることもなく、 BEC 攻撃はソーシャル・エンジニアリングの手口により、従来のセキュリティ・ツールを容易に迂回していく。Abnormal によると、テキスト・ベースの BEC 攻撃の開封率は、昨年の中央値で 28％ 近くに達し、これらのアプローチの有効性が浮き彫りになっている。

同社によると、このような攻撃は、真正性と検知を逃れるための、巧妙かつ微妙な変化を組み合わせており、従来の電子メール・セキュリティ・システムと人間の警戒心の両方にとって大きな課題となっている。

Abnormal は、「このような傾向が続くのであれば、人間の過失を標的とする電子メールベースの攻撃の頻度が高まることに、金融サービス業界の組織は備える必要がある」と書いている。VEC／BECなどの数多くの詐欺が、従来からのセキュリティ・ソリューションを回避していく一方で、高度なクラウド・メール・セキュリティを採用する企業は、メール攻撃がもたらす課題に正面から取り組んでいる」と述べている。

昨日である 2024/01/16 にも、「Email の悪夢 2023：ユーザー組織の 94% がメール・フィッシング攻撃に悩まされている」という記事をポストしています。そして今日の記事は、金融分野に特化したメール詐欺に関するものとなっています。BEC (Business Email Compromise) の亜種として、VEC (Vendor Email Compromise) という言葉があることに、ちょっと驚きましたが、AiTM との違いはある のでしょうか？よろしければ、AiTM で検索も、ご利用ください。