ビジネス メール詐欺と受信トレイ ルール：BEC が疑われるとき Exchange Online で不正なルールを見つける方法

要点： ビジネス メール詐欺（BEC）が疑われたら、最初に確認すべきは受信トレイ ルールです。攻撃者はルールを使ってメールボックスの中に潜み、支払いに関する返信を見えない場所へ移し、警告メールを削除し、コピーを外部へ転送します。そのメールボックスのルールを隠しルールも含めてすべて一覧にし、Microsoft Purview の監査ログで、各ルールを誰が、いつ、どこから作ったかを確認します。まずアカウントを封じ込め、次に証拠を保全し、何かを削除するのはその後です。

ビジネス メール詐欺は、侵入らしい見た目をしていないことがほとんどです。経理の担当者が、よく知っている取引先から「今月の請求書から振込先口座が変わります」というメールを受け取る。そのメールは取引先の本物のメールボックスから、あるいは自社のメールボックスから届いています。攻撃者が何週間も前からメールを読んでいたからです。その数週間、攻撃者が気づかれずにいられる理由の多くは、少数のビジネス メール詐欺の受信トレイ ルールにあります。本物の取引先からの返信を誰も開かないフォルダーへ移すルールがあるため、支払いが済んでから初めて詐欺が発覚するのです。

本記事のテーマは調査です。攻撃者がよく使うルールのパターン、Exchange Online での確認場所、誰が作ったかを示す監査記録、そして片付けの前に残すべきものを説明します。そもそも転送を防ぐ方法は、姉妹記事の Microsoft 365 の外部メール転送をブロックする方法で扱っています。

最初に一点だけ。今まさにメールボックスが侵害されていると考えられる場合は、調査より先に封じ込めてください。パスワードをリセットし、ユーザーのセッションを取り消し、登録されているサインイン方法を確認します。手順は後述します。支援が必要な場合は、緊急である旨を添えてお問い合わせください。

攻撃者はなぜ受信トレイ ルールを作るのか？

メールボックスを乗っ取った攻撃者には二つの問題があります。本来の持ち主は、自分が送っていないメールへの返信に気づきます。セキュリティの警告や配信不能の通知から発覚することもあります。受信トレイ ルールはこの二つを静かに解決し、しかもパスワードを変えても動き続けます。ルールはセッションではなく、メールボックスに属しているからです。

Microsoft 自身のビジネス メール詐欺に関するセキュリティ調査を含め、公開されているインシデント分析で繰り返し報告されているパターンは、いくつかに分類できます。

• やり取りを隠す。 特定の取引先、顧客、経理の担当者からのメールや、請求書、支払い、銀行、送金、振込、取引先名などを含むメールを、ユーザーが見ないフォルダーへ移します。RSS サブスクリプション、RSS フィード、会話の履歴、アーカイブ、または無害そうな名前で新しく作ったフォルダーです。
• 既読にする。 移動と組み合わせ、未読の表示が出ないようにします。
• 警告を消す。 「フィッシング」「ハッキング」「不審」「本当に送りましたか」といった言葉を含むメールや配信不能通知を受信と同時に削除し、同僚からの警告がユーザーの目に触れないようにします。
• 外部へコピーする。 外部アドレスへの転送、添付ファイルとしての転送、リダイレクトです。財務責任者からのメールだけ、のように範囲を絞ることが多くあります。
• 目立たないようにする。 ルール名を 1 文字、ピリオド一つ、同じ文字の繰り返し、既存ルールの名前のコピーなどにします。

どれも単独では証拠になりません。社員は普段から妙なルールを作るものです。重要なのは組み合わせです。範囲の狭い経理関係のキーワード、誰も使わないフォルダーへの移動、不審なサインインに近い作成日時、そして本人がそのルールに心当たりがないこと。

Exchange Online で受信トレイ ルールはどこにあるのか？

疑わしいメールボックスから始め、同じ攻撃者が触れた可能性のあるすべてのメールボックスへ広げます。

Outlook on the web と Outlook クライアント

ユーザー自身が見られる画面は、Outlook on the web の「設定」「メール」「ルール」です。最初の確認としては手早いものの、完全ではありません。ほかのインターフェースから作られたルールの一部はすべてのクライアントに表示されるわけではなく、攻撃者がユーザーの Outlook では正しく表示できないルールを作っている可能性もあります。

Exchange Online PowerShell

確実な一覧は PowerShell から得られます。Get-InboxRule -Mailbox user@yourdomain.com でルールが一覧になり、-IncludeHidden を付けると隠しルールも返ります。攻撃者が作ったルールの一部はそこにあります。結果を Format-List に渡し、Name、Enabled、Description、From、SubjectContainsWords、BodyContainsWords、MoveToFolder、MarkAsRead、DeleteMessage、ForwardTo、ForwardAsAttachmentTo、RedirectTo を確認します。Description プロパティはルールの内容を平易な英語で示すので便利です。

あわせて、攻撃者がコピーを隠せるほかの場所も確認します。メールボックスの転送プロパティ（Get-Mailbox の ForwardingSmtpAddress と ForwardingAddress）、メールボックスの代理人とフォルダーのアクセス許可（Get-MailboxPermission と Get-MailboxFolderPermission）、そしてこのメールボックスに関係するメール フロー ルールです。

テナント全体へ広げる

一つのメールボックスが侵害されたなら、ほかも試されたと考えてください。すべてのメールボックスに Get-InboxRule を実行し、転送、リダイレクト、削除を行うルールや、RSS サブスクリプション、会話の履歴、アーカイブへ移すルールを絞り込みます。ルールのおおよその作成時期で並べ替え、最初に侵害されたアカウントのタイムラインと突き合わせます。外部転送のガイドで紹介している転送の棚卸しも、同じコマンドを使います。

監査ログから何がわかるのか？

ルールからわかるのは何が行われたかです。監査ログからは、誰が、いつ、どこから行ったかがわかります。攻撃者のルールとユーザー自身のルールを見分けるのに必要なのはこちらです。

ルールの作成と変更

Microsoft Purview ポータルの「監査」にある監査検索では、受信トレイ ルールの操作が記録されます。検索すべき操作は、Outlook on the web や PowerShell で作成・変更されたルールの New-InboxRule と Set-InboxRule、Outlook デスクトップ クライアントで作成・変更・削除されたルールの UpdateInboxRules、そして Remove-InboxRule です。PowerShell では Search-UnifiedAuditLog に -StartDate、-EndDate、-UserIds を指定し、-Operations にこれらの名前を指定します。Microsoft の「Use the audit log to identify Exchange inbox rules activities」によれば、記録の Parameters フィールドにはルールの条件とアクションが、クライアント IP には変更元が示されます。

同じ時期のサインイン

Microsoft Entra 管理センターで、ルールが作られた前後数日のユーザーのサインイン ログを開きます。ユーザーが使わない国やネットワークからのサインイン、見慣れないブラウザーやデバイス、そしてユーザーがいなかった場所から MFA を通過したサインインに注意します。最後の点は特に重要です。中間者（AiTM）型のフィッシング ページは、ユーザーが MFA を完了した後のセッションを奪うことができるため、「MFA は有効だった」は侵害を否定する理由になりません。Microsoft 365 で MFA を有効にする方法の記事で、フィッシング耐性のある方法がこの穴をふさぐ理由を説明しています。

攻撃者が読んだもの、送ったもの

Exchange 管理センターの「メール フロー」にあるメッセージ追跡では、その期間にメールボックスが送受信したメールを、削除や移動されたものも含めて確認できます。ライセンスで記録される場合は、MailItemsAccessed の監査イベントでどのメールが開かれたかがわかり、どの情報が漏えいしたかの判断に役立ちます。思い込まずに、自社のライセンスで実際に何が記録されるかを確認してください。

証拠はいつまで残るのか

多くの組織が手遅れになってから気づく点です。Microsoft のドキュメントによれば、Audit (Standard) では 2023 年 10 月 17 日以降に生成されたログを 180 日間保持し、それより長い保持には Audit (Premium) か保持ポリシーが必要です。侵害が数か月前に始まっている可能性があるなら、関連する記録を今すぐエクスポートしてください。

封じ込め、保全、そして片付け

順番が重要です。先に片付けてしまうと、攻撃者がどこまで到達したかを判断するための証拠が失われ、保険請求、銀行による組戻し、法的措置の根拠も弱くなります。

1. 封じ込める。 ユーザーのパスワードをリセットし、Microsoft Entra 管理センターでセッションを取り消して既存のサインインを無効にします。登録されている認証方法を確認し、本人が追加していないものを削除します。攻撃者は自分の認証アプリを登録することがよくあります。本人が許可していないアプリの同意がないかも確認します。
2. 疑わしいルールは削除せず無効にする。 Set-InboxRule に -Enabled $false を付ければ、ルールを壊さずに止められ、定義全体をエクスポートできる状態で残せます。
3. 保全する。 Get-InboxRule の出力、関連する監査ログの記録、サインイン ログ、その期間のメッセージ追跡をエクスポートします。各手順の時刻と実施者を記録します。法的措置、保険請求、規制当局への報告の可能性があるなら、何かを削除する前に法律顧問と保険会社に相談してください。メールボックスの保持を求められることがあります。
4. 関係者に知らせる。 経理部門に知らせ、狙われたやり取りの相手である取引先や顧客には、メールに書かれた番号ではなく、もともと把握している電話番号で連絡します。
5. 片付ける。 不正なルール、転送先、代理人、アプリの同意を削除し、ほかのメールボックスに同じパターンがないか確認します。
6. 入口をふさぐ。 攻撃者がどこから入ったのか、多くはフィッシング ページか使い回されたパスワードですが、それを突き止めて根本を直します。症状だけを処理して終わらせないことです。

組み込みのアラート、手動の点検、継続的な監視のどれか？

組織が不正なルールに気づく三つの方法と、それぞれにできること、できないことです。

不正なルールを最も早く見つけられるのはどれか？

• 組み込みのアラート ポリシー。 Microsoft Defender には、転送やリダイレクトのルール作成と不審な転送アクティビティに関する既定のアラート ポリシーがあり、Microsoft Defender for Cloud Apps も不審な受信トレイ操作を検出できます。いくつかは標準的な Microsoft 365 のビジネス向けライセンスに含まれますが、Defender for Cloud Apps には別途ライセンスが必要です。限界は、誰かがアラートを読む必要があることと、移動や削除だけを行うルールでは転送のアラートがそもそも出ない場合があることです。
• 定期的な手動点検。 テナント全体の Get-InboxRule の確認を毎月または四半期ごとに行えば、移動や削除だけのルールなど、アラートが見逃すものを拾えます。限界は時間で、点検の翌日に作られたルールは何週間も動き続けます。
• セキュリティ オペレーション センターによる継続的な監視。 アナリストがサインインのリスク、ルールの作成、メールボックスの操作をまとめて監視し、数時間以内に対応します。これが SOC サービスの内容で、一件の不正な支払いが重大な損害になる組織に適した選択肢です。

Microsoft 365 セキュリティ監査ではここで何を確認するか？

監査はインシデント対応ではありません。インシデントの前に、あるいは封じ込めた後に、それを可能にした弱点を見つけるためのレビューです。Brocent の Microsoft 365 セキュリティ監査では、メール セキュリティの領域で、全メールボックスの転送・リダイレクト・削除を行う受信トレイ ルール、メールボックスの転送、外部転送のポリシー、関連するアラート ポリシーの状態、メールボックス監査と監査ログの保持期間、そしてそもそもサインインを止められたはずの MFA と条件付きアクセスの設定を確認します。

Microsoft 365 セキュリティ監査のサンプル レポート（英語）で、こうした指摘の書き方と優先順位付けを確認できます。監査は読み取り専用でリモートで実施し、読み取り専用のアクセスが承認されてから 5～7 営業日でレポートをお渡しします。報告会は、英国、オーストラリア、アジアのどこにいても御社の営業時間に設定します。料金はユーザー数による固定制で、10 ユーザーまで 450 米ドルからです。価格帯と範囲は Microsoft 365 セキュリティ監査の料金ページをご覧ください。

香港のサプライヤー支払い詐欺の事例では、この種の侵害が経理チームからどう見えるかを紹介しています。英国の企業にとって、個人データを含むメールボックスの侵害はデータ保護の問題にもなりえ、多くの企業にとってはサイバー保険の問題でもあります。いずれの場合も、監査レポートは整備されている統制の証拠として使えるよう設計されたもので、法的意見ではありません。

よくある質問

BEC の後、特に疑わしい受信トレイ ルールは？

支払いや取引先に関するキーワードを含むメールを RSS サブスクリプション、会話の履歴、アーカイブ、新しいフォルダーへ移すルール、フィッシングやハッキングに触れたメールを削除するルール、外部へ転送またはリダイレクトするルール、そしてピリオド一つのような意味のない名前のルールです。

パスワードを変えれば攻撃者のルールは消えますか？

いいえ。受信トレイ ルールはメールボックスに属しており、パスワードをリセットしても動き続けます。セッションの取り消し、サインイン方法の確認、ルール自体の削除も必要です。

受信トレイ ルールを誰が作ったかはどう調べますか？

Microsoft Purview の監査ログで、そのメールボックスについて New-InboxRule、Set-InboxRule、UpdateInboxRules を検索します。記録には、アカウント、時刻、クライアント IP、そして Parameters フィールドにルールの条件とアクションが示されます。

Outlook でそのルールが見えないのはなぜですか？

一部のクライアントには表示されないルールがあります。Exchange Online PowerShell で -IncludeHidden を付けた Get-InboxRule を使うと、完全な一覧を確認できます。

どこまで遡って調査できますか？

Audit (Standard) では、2023 年 10 月 17 日以降に生成されたログを Microsoft が 180 日間保持します。それより長い保持には Audit (Premium) か保持ポリシーが必要なので、必要な記録は早めにエクスポートしてください。

Brocent はインシデント対応を提供していますか？

Brocent はインシデント対応のリテイナー契約は提供していません。侵害が進行中と疑われる場合は、まず上記の手順でアカウントを封じ込め、封じ込め、片付け、その後のレビューについてご相談ください。

不正なルールはすぐに削除すべきですか？

まず無効にし、監査記録やサインイン記録とあわせて詳細をエクスポートします。証拠を保全してから削除してください。

まず何から始めるか

今のところ侵害を疑う理由がなければ、今週テナント全体の受信トレイ ルールを確認し、上記のパターンと照らし合わせてください。誰も説明できないルールが見つかったら、インシデントとして扱い、封じ込めの手順に従います。周辺の統制について独立したレビューを受けたい場合は、監査の料金ページに範囲を掲載しています。あるいはコンサルタントにご相談ください。