BEC（ビジネスメール詐欺）

取引先や経営者を装ったメールを送り、偽の口座への送金や機密情報の提供を促す詐欺手法。BECとも呼ばれ、巧妙な手口で多額の被害が発生している。

取引先や経営者などになりすましたメールを送り、偽の銀行口座へ送金させるなどの詐欺。攻撃者はメールのやり取りを事前に盗み見て、適切なタイミングで偽のメールを送りつける。

取引先や経営者になりすましたメールで、偽の口座へ送金させる詐欺。BECと略す。事前に社内メールを盗み見て文面や取引内容を模倣するため見破りにくく、電話など別経路での確認が有効。

経営者や取引先になりすましたメールで担当者をだまし、攻撃者の口座へ送金させる詐欺。マルウェアを使わず業務メールを装うため技術的な検知が難しく、送金手続の多重承認や別経路での事実確認といった業務面の統制が要となる。

取引先や経営層になりすました電子メールで、送金や機密情報の送付を指示する詐欺。マルウェアを使わず正規のやり取りを装うため、技術的対策だけでは検知しにくい。

AI技術（特にディープラーニング）を用いて、人物の顔や声を精巧に合成・改変する技術、またはその生成物。ビジネスメール詐欺（BEC）やなりすましによるソーシャルエンジニアリング攻撃に悪用されるリスクがあり、音声・映像の真正性検証が課題となっている。

不正アクセス禁止法で禁止される行為で、アクセス制御機能を持つコンピュータに、ネットワークを通じて他人の識別符号（ID・パスワードなど）を無断で入力して利用できる状態にする行為（なりすまし）と、脆弱性を突く情報や指令を入力して利用の制限を免れる行為（セキュリティホールへの攻撃）がある。ネットワークを介さない操作は対象外。3年以下の拘禁刑または100万円以下の罰金が科される。

人の知識不足、不注意、心理的な隙など、組織の人員に起因する情報セキュリティ上の弱点。パスワードの使い回しや付箋への記載、不審なメールの開封、ソーシャルエンジニアリングへの無警戒などが該当し、教育・訓練と規程の整備で低減する。

認証後の利用者を識別するセッションIDを、盗聴、推測、クロスサイトスクリプティングなどで攻撃者が取得し、その利用者になりすましてサービスを不正に利用する攻撃。推測が困難なセッションIDの使用、通信の暗号化、ログイン後のセッションIDの再発行で対策する。

IPパケットの送信元IPアドレスを偽装して、別のホストになりすます手法。IPアドレスによるアクセス制御の回避や、送信元を偽ったDoS攻撃、リフレクション攻撃に使われる。外部から届いたパケットのうち送信元が内部のアドレスになっているものを境界で遮断する、などの方法で対策する。

金融機関、通販サイト、宅配業者などの実在する組織を装った電子メールやSMSで利用者を偽のWebサイトへ誘導し、ID・パスワードやクレジットカード番号などを入力させて盗み取る詐欺。ワンタイムパスワードまでその場で中継する手口もあり、偽サイトでは使えないFIDO認証が有効な対策となる。