個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第15問: 人の心理的な弱点や相手への信頼感につけ込むソーシャルエンジニアリングの手法を用いた攻撃メールについて、IPA「企業組織を狙う攻撃メールの手口とその対策」（202

正解: 4. 取引先になりすまして送金先口座の変更を依頼する手口は、海外の取引先との間で多く発生し、攻撃者がメールのやりとりを盗み見ることから始まるとされている。

IPAの同レポートは、ビジネスメール詐欺（BEC）のうち取引先との請求書の偽装（タイプ1）について、海外の取引先との間で発生することが多く、攻撃者が被害組織と取引先とのメールのやりとりを盗み見ることから始まり、途中から取引先になりすまして送金先口座の変更を依頼するとしています（4が正しい）。BECは特定の企業組織を標的として行われ、ばらまき型ではありません（1）。フィッシングメールは一般に同じ文面を不特定多数に送るばらまき型の一種で、標的を定めて業務内容を調べ上げてから送るのは標的型攻撃メールです（2）。相談窓口の相談で多くを占めるのは、経営者等へのなりすまし（タイプ2）ではなく、海外の取引先になりすましたタイプ1です（3）。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: ソーシャルエンジニアリング・ビジネスメール詐欺・フィッシング・標的型攻撃メール・なりすまし