振込先の変更を求めるメール
A 社の経理担当者に，取引先 B 社の担当者の名前で「監査対応のため振込先口座を変更した。請求書を差し替えるので，今月分は期限までに新しい口座へ振り込んでほしい」というメールが届いた。メールヘッダを確認すると，送信元は B 社の正規のドメインで，SPF，DKIM，DMARC の検証結果はいずれも pass であった。経理担当者が取るべき対応として，最も適切なものはどれか。
- ア送信ドメイン認証の検証結果がすべて pass なので，B 社から送られた正規の依頼であると判断し，新しい口座へ振り込む。
- イ契約時の書類など以前から把握している連絡先を使い，B 社の担当者に電話で口座変更の事実を確認する。
- ウ届いたメールに返信して口座変更の理由と変更後の口座の名義を問い合わせ，回答に不審な点がなければ振り込む。
- エ依頼のメールを経理部門の上長に転送して承認を受けた上で，期限までに新しい口座へ振り込む。
正解と解説を見る
正解 イ
この問題の基礎知識
- ビジネスメール詐欺（BEC）は，取引先や経営者などになりすましたメールで偽の口座への送金などをさせる詐欺であり，正規のメールアカウントの乗っ取りや，やり取りへの割込みが使われることがある。
- SPF，DKIM，DMARC は，メールがそのドメインの正規のサーバから送られたことや改ざんされていないことを確かめる仕組みであり，送信者本人の意思や依頼内容の正当性は保証しない。
- なりすましの疑いを確かめるときは，その確認の経路が攻撃者に握られていないかを考える。受信したメールへの返信や本文に書かれた連絡先は，攻撃者が用意したものである可能性がある。
ア送信ドメイン認証の検証結果がすべて pass なので，B 社から送られた正規の依頼であると判断し，新しい口座へ振り込む。
送信ドメイン認証は，そのドメインの正規のサーバから送られたことなどを確かめる仕組みである。B 社のメールアカウントが乗っ取られて送られた場合も pass になるので，依頼の真正性の根拠にはならない。
イ契約時の書類など以前から把握している連絡先を使い，B 社の担当者に電話で口座変更の事実を確認する。正解
IPA は，急な振込先の変更は取引先へメール以外の方法で確認し，その際はメールの署名欄の連絡先は偽装されている可能性があるので，信頼できる方法で入手した連絡先を使うよう勧めている。
ウ届いたメールに返信して口座変更の理由と変更後の口座の名義を問い合わせ，回答に不審な点がなければ振り込む。
メールアカウントが乗っ取られていたり，やり取りの途中で相手が攻撃者に入れ替わっていたりすると，返信は攻撃者に届く。IPA は，メールで違和感を解消しようとすると攻撃者が嘘で取り繕ってくることがあると注意している。
エ依頼のメールを経理部門の上長に転送して承認を受けた上で，期限までに新しい口座へ振り込む。
社内の承認手続を経ても，依頼が B 社からの正当なものであるかどうかは確かめられていない。上長もメールの内容だけで判断することになり，攻撃者が用意した口座への送金を防げない。
検証用の出典出典照合済み
IPA ビジネスメール詐欺 FAQ (https://www.ipa.go.jp/security/bec/bec_faq.html) ／ IPA ビジネスメール詐欺の対策について知る (https://www.ipa.go.jp/security/bec/bec_measures.html) ／ RFC 7489 DMARC照合の根拠（6 件）
- イ（正解）: メールとは異なる手段で取引先に確認し，署名欄ではなく信頼できる方法で入手した連絡先を使う
取引先になりすましたメールの場合は、電話やFAXなどメールとは異なる手段で、取引先に事実を確認することを勧めます。その際には、メールに書かれている署名欄は攻撃者によって偽装されている可能性があるため、信頼できる方法で入手した連絡先を使ってください。
IPA ビジネスメール詐欺 FAQ · Q4 / A4（新しいタブで開きます） - イ（正解）・エ（誤り）: 急な振込先の変更は取引先へメール以外の方法で確認する（社内承認だけでは足りない）
電信送金に関する社内規程の整備（チェック体制の整備） ・急な振込先や決済手段の変更等が発生した場合、取引先へメール以外の方法で確認する
IPA ビジネスメール詐欺の対策について知る · ビジネスメール詐欺の対策（新しいタブで開きます） - ウ（誤り）: メールで違和感を解消しようとすると攻撃者が嘘で取り繕ってくることがある
突然の振込先の変更、決済手段の変更を求められた場合や、急な対応を促すような請求・送金の依頼メールは、ビジネスメール詐欺ではないか、よく確認することを勧めます。また、普段とは異なる言い回しや表現の誤り、会話の食い違いなど、多少違和感があってもそのままやり取りを続け、詐欺にあってしまった事例もあります。メールで違和感を解消しようとすると攻撃者が嘘で取り繕ってくることもあるので、ご注意ください。
IPA ビジネスメール詐欺 FAQ · Q3 / A3（新しいタブで開きます） - ウ（誤り）: やり取りの途中で相手が別人に入れ替わっている可能性がある
メールのやりとりの最中で、いつの間にか相手が別人に入れ替わっているという状況は、なかなか想像しにくいものですが、その可能性を忘れないようにしてください。
IPA ビジネスメール詐欺 FAQ · Q3 / A3（新しいタブで開きます） - ア（誤り）: メールアカウントの認証情報が窃取・詐取される手口があり，正規のアカウントから送られることがある
何らかの手段によりパソコンをウイルスに感染させ、パソコンに保存されているメールやメールアカウントの認証情報を窃取する手口や、フィッシング攻撃によりメールアカウント情報を詐取してメールを盗み見る手口等があります。
IPA ビジネスメール詐欺 FAQ · Q2 / A2（新しいタブで開きます） - ア（誤り）: DMARC（SPF・DKIM）が認証するのはドメインだけで，アドレスのローカル部やメッセージ内容の正当性は検証しない
It is important to note that the authentication mechanisms employed by DMARC authenticate only a DNS domain and do not authenticate the local-part of any email address identifier found in a message, nor do they validate the legitimacy of message content.
RFC 7489 · Section 4.1（新しいタブで開きます）
FAQ の Q 番号は掲載順（Q2 メールはどうやって盗み見られているの？，Q3 攻撃に気付くためのポイント，Q4 疑われるメールが着信したとき）。