URL や添付ファイルがなく、SPF・DKIM・DMARC などのメール認証もすべて成功しているメールは安全に見えるかもしれません。 しかし、実はそのようなメールであっても、必ずしも安全とは限りません。

今回は、お客様からのご相談をもとに NRAS が独自の検知ルールを実装し、そのルールによって実際に BEC（Business Email Compromise）疑いのメールを検知した事例をご紹介します。

■ 3つのポイント

① お客様の相談を独自ルールに反映

BEC 被害にあったお客様より相談があったことをきっかけに、NRAS に BEC を検知するルールが追加され、1年後、実際にそのルールによって BEC 疑いのメールが検知されました。

② メール認証が Pass でも安全とは限らない

BEC 検知したメールは、SPF・DKIM・DMARC などのメール認証はすべて Pass でした。 しかし、メール認証の成功は、内容や送信者の目的まで保証するものではありません。攻撃者が自ら管理するドメインに正しい認証設定を行えば、BEC メールであってもメール認証を通過できます。

③ URL や添付ファイルがなくても被害は発生する

BEC では、メール本文を使って送金、振込先変更、請求書の差し替え、機密情報の提供などを依頼する場合があります。URL や添付ファイルがなくても、受信者が依頼に応じれば、金銭や情報の被害につながります。

■ 何がおこったか

約 1 年前、BEC 被害にあったお客様より「同じ件名・同じ送信者表示名のまま、過去とは異なるドメインから送信されるメールを検知できないか」というご相談をいただきました。 そこで、私たちは Microsoft 365 から取得できる情報を精査し、以下の 2 つの条件で BEC の疑いがあるメールを検知できるように分析ルールを作成しました。

• ドメイン変更：件名や送信者名が同一で送信元ドメインが異なる受信メールを検知
• 珍しいドメイン：組織で珍しいドメインへの送信メールを検知

上記の条件をシンプルに実装するとかなり多くのメールが該当してしまうため、1. ざっくりと BEC 疑いのあるメールを取得し、2. 組織実績のあるドメインとの類似度やドメインの作成日時などからフィルターし、3. メールの件名から通常業務らしさの程度を判定する、のように処理を多層化することで、本当に確認が必要な不審なメールのみをアラート化するようにしています。

今回 NRAS が検知したのは、外部ドメインからお客様の業務用メール管理システムへ配信されたメールでした。

約 24 時間前にも、同じ件名・同じ送信者表示名・同じ宛先のメールが配信されていましたが、送信元メールアドレス、ドメイン、IP アドレスは異なっていました。メールの件名には、組織で良くやり取りされる会社名が含まれており、返信を装うためか「RE: 」から始まっているなどの特徴がありました。

また、前述の通り SPF・DKIM・DMARC などのメール認証はすべて Pass しており、URL や添付ファイルもなく、正常なメールとして配信されていました。不審メールの送信元ドメインに紐づく IP アドレスには短い文字列で構成された複数の .cn ドメインが関連付けられていて、前日と当日のメールで使われた 2 つのドメインが、同じ日に 1 分未満の間隔で登録されていることも確認できました。

上記の状況から不審なメールである可能性が高いと判断し、お客様にリスクの説明とユーザーへのヒアリングを依頼しました。

■ NRAS でできること

URL や添付ファイルを使う攻撃もありますが、BEC では本文の依頼で金銭や情報をだまし取る場合があり、一般的なメール セキュリティでは検知が難しい場合があります。また、メール単体で判定することが難しく、通常発生しないようなパターンを定義する必要があるため、お客様自身での分析ルール作成難易度も高くなります。

今回紹介したように、NRAS ではお客様から寄せられたご相談や業務上の課題をもとに、独自の検知ルールを検討・実装することが可能です。現在、BEC 検知はご希望のお客様にオプションとして提供可能になっています。

:

私たちは、お客様の課題を検知の仕組みに反映し、継続的な監視と分析を通じて、お客様のセキュリティ強化を支援していきます。

【サービス詳細】
NR Automate Security（ NRAS）
https://nextread.co.jp/service-nras/

【関連記事】
「すごいぞ NRAS！対応事例のご紹介」シリーズ
不正利用の痕跡がなくても見逃さない、グローバル管理者アカウントの端末が侵害された事例
https://nextread.co.jp/column-casestudy/nr-automate-security15/