Exploiting trust for financial gain: An overview of business email compromise (BEC) fraud （経済的利益のために信頼を悪用する：ビジネスメール詐欺（BEC）の概要）
Cassandra Cross, Rosalie Gillett
要約
オーストラリア・クイーンズランド工科大学のCassandra Cross先生とRosalie Gillett先生による論文「Exploiting trust for financial gain: An overview of business email compromise (BEC) fraud（経済的利益のために信頼を悪用する：ビジネスメール詐欺の概要）」は、世界中の企業に甚大な経済的被害をもたらしているビジネスメール詐欺（BEC）の現状と課題を包括的に整理した文献レビューです。 本研究は、既存の学術文献や業界報告を分析し、BECの手法、被害の実態、法執行機関の対応、予防策の有効性を評価しました。その結果、従来の対策はシステムなどの技術的側面に偏重しており、詐欺を成功に導く人間的要素（ソーシャルエンジニアリングなど）への理解が不足していることが判明しました。また、騙されて送金を実行してしまった従業員が被る精神的・キャリア的な非財務的ダメージに関する研究の欠如を指摘しており、サイバー犯罪対策において人へのアプローチと被害者支援の重要性を説く点で非常に特異で価値のある論文です。
研究方法
本研究は、BECに関する現在の知識状況を明らかにするため、文献レビュー（Literature Review）という研究手法を採用しています。文献レビューとは、特定のテーマについてこれまでに出版された学術論文、政府機関の報告書、サイバーセキュリティ業界の調査データなどを幅広く収集し、現状の知見を体系的にまとめる手法です。 サイバー犯罪の研究では、コンピュータウイルスの挙動やシステムへの侵入経路を分析する技術的なアプローチが一般的ですが、本研究は社会科学的な視点を取り入れています。攻撃者がどのように組織の人間関係や業務プロセスを悪用するのか、そして被害を受けた組織や個人がどのような影響を受けるのかについて、既存のデータを質的（事象の性質や文脈）および量的（被害額などの数値）な観点から整理し直しました。これにより、現在の対策において何が不足しているのか（研究の空白地帯）を浮き彫りにしています。
この研究でわかったこと
成功の鍵は「高度な技術」ではなく「人間の心理操作」
BECの多くは、システムへの高度なハッキング技術だけで成功しているわけではありません。犯行の核となるのは、経営層や取引先になりすまし、従業員の「仕事をきちんとこなしたい」「上司の期待に応えたい」という真面目な心理を利用するソーシャルエンジニアリングです。攻撃者は、事前にSNSや企業サイトから綿密な情報収集を行い、企業の決裁プロセスや人間関係を把握します。そして、権威（上司からの指示）と緊急性（急いで振り込まなければならない）を巧みに利用し、担当者に合理的な疑いを持たせる隙を与えずに不正な送金を実行させることがわかっています。
見過ごされている従業員の「非財務的ダメージ」
BECによる経済的損失が莫大であることはよく知られていますが、本研究が指摘する重大な発見は非財務的損害に対する理解の圧倒的な不足です。詐欺と気づかずに送金してしまった従業員は、多大な自責の念や精神的トラウマを抱えるだけでなく、会社から解雇されたり、多額の損害賠償を求めて提訴されたりする実例が存在します。企業内の信頼関係の崩壊や、被害に遭った個人のキャリアへの悪影響など、目に見えない甚大な被害が生じているにもかかわらず、そのケアや組織としての適切な対応プロセスは未確立のままです。
技術的対策と教育プログラムの限界
システムによるメールのフィルタリング機能などは重要ですが、取引先の正規アカウントが既に乗っ取られている場合や、ドメインが一文字だけ異なる巧妙な偽装メールに対しては無力化されることが少なくありません。さらに興味深いことに、従業員へのセキュリティ教育や事前の警告が、時として逆効果になることも示唆されています。情報過多による注意力の散漫や、自分は騙されないという楽観バイアスを引き起こし、かえって情報漏洩のリスクを高めるケースがあるのです。組織の目標（業務スピードやコスト削減）とセキュリティ要件が対立している環境下では、教育の効果は著しく低下することもわかりました。
この論文の社会への貢献
被害者支援における新たなパラダイムの提示
本論文は、詐欺被害を従業員の不注意やシステムの不備と片付けるのではなく、人間の信頼を意図的に悪用した巧妙な犯罪であるという認識を社会に啓発します。これにより、支援団体や医療・心理カウンセラーに対して、被害に遭った従業員もまた重大なトラウマを抱えた「犯罪の被害者」であるという視点を提供します。騙された担当者を単に罰するのではなく、組織的な回復と心理的サポート体制をどう構築すべきか、人事や経営層に深い思索を促します。
行政や警察への啓発と「人」中心の対策へのシフト
行政や警察、セキュリティ担当機関に対しては、技術的な防御策の追求だけでなく、人間と組織文化を組み込んだアプローチへの転換を強く後押しします。企業のガバナンス環境を見直し、送金時に必ず別の通信手段（電話など）で確認するルールの徹底など、業務プロセスそのものの再設計の必要性を説いています。
全ての人に迫る脅威として
ビジネスメール詐欺は、一部の大企業やITに疎い人だけの問題ではなく、私たちの人間と組織文化や、人間と組織文化という社会の基盤を悪用する脅威です。行政は法整備と啓発を、警察は国際的な犯罪ネットワークの摘発を、そして一般のビジネスパーソンは日常のコミュニケーションに潜む罠への理解を深める必要があります。この論文は、経営者から一般市民まで、様々な立場の人が「自分事」としてこのサイバー脅威に向き合い、共に社会の信頼基盤を守るための強力な訴え掛けとなっています。
用語解説
- ビジネスメール詐欺（BEC：Business Email Compromise） 企業内の経営層や取引先になりすまし、従業員に偽の口座へ送金させたり、機密情報を引き出したりするサイバー犯罪の一種です。個人の資産ではなく、法人の資金がターゲットになるため、被害額が極めて高額になる傾向があります。
- ソーシャルエンジニアリング（Social Engineering） コンピュータのシステム的な脆弱性をハッキングするのではなく、人間の心理的な隙（権威への服従、焦り、親切心など）や行動のミスを突いて、機密情報を漏洩させたり特定の行動をとらせたりする手法のことです。
- タイポスクワッティング（Typosquatting） 標的となる企業の正規ドメイン（インターネット上の住所）と非常によく似た偽のドメインを取得し、相手を騙す手口です。例えば、「example.com」の「l（エル）」を「1（数字のイチ）」に変えたり、「example.co.」として巧妙に偽装します。
- マネーミュール（Money Mule） 詐欺などで得た不正な資金の出所を隠すため、自身の銀行口座を経由して別の口座へ資金を転送する役割を担う「運び屋」のことです。本人は犯罪に加担している認識がなく、「在宅の副業」や「割の良いアルバイト」と信じ込んで利用されているケースも多く見られます。
- 楽観バイアス（Optimism Bias） 「自分だけはトラブルに巻き込まれない」「自分は他の人よりも詐欺を見抜けるはずだ」と、根拠なく自分にとって都合の良い予測をしてしまう人間の心理的傾向のことです。これがセキュリティ意識の低下を招く要因となります。
| タイトル | Exploiting trust for financial gain: An overview of business email compromise (BEC) fraud （経済的利益のために信頼を悪用する：ビジネスメール詐欺（BEC）の概要） |
| 論文の種類 | ジャーナル論文（文献レビュー） |
| 論文の分野 | 犯罪学、サイバーセキュリティ、被害者学、経営学 |
| 著者 | Cassandra Cross, Rosalie Gillett（クイーンズランド工科大学 / Queensland University of Technology） |
| 論文誌名・発行者 | Emerald Publishing Limited (Journal of Financial Crime) |
| 発行日・巻数・ページ | 2020年・Vol. 27 No. 3・pp. 871-884 |
| 原著論文の言語 | 英語 |
| URL | https://eprints.qut.edu.au/200621/ |
| Cite | Cross, C., & Gillett, R. (2020). Exploiting trust for financial gain: An overview of business email compromise (BEC) fraud. Journal of Financial Crime, 27(3), 871-884. https://doi.org/10.1108/JFC-02-2020-0026 |
コメント