記事公開日
「社長になりすましたメール」を見抜くには？BEC（ビジネスメール詐欺）の手口と対策
「至急、取引先への送金を進めてほしい」「この案件は機密なので、ほかの人には相談せず対応してほしい」「海外子会社の買収に関する支払いが必要になった」――。このようなメールが社長や役員、取引先の担当者を名乗って届いた場合、注意が必要です。
近年、企業を狙ったサイバー犯罪の一つとして、BEC（Business Email Compromise：ビジネスメール詐欺）が問題になっています。BECは、経営者や取引先、社内の担当者になりすまし、メールを使って送金や口座変更、機密情報の提供などをだまし取る手口です。従来の迷惑メールとは異なり、実際の業務連絡に似せた巧妙な内容で届くため、警戒していても見抜きにくいケースがあります。
特に、経理・財務部門、営業部門、海外取引を担当する部門、人事部門などは標的になりやすい傾向があります。しかし、BECは一部の担当者だけが注意すれば防げる問題ではありません。メールを使うすべての従業員が、なりすましの特徴を理解し、怪しいメールを受信した際に適切な確認・報告を行える体制を整えることが重要です。
本記事では、BECの基本的な仕組みや代表的な手口、社長や取引先になりすますメールの特徴、受信時の確認手順、企業が進めるべきメール対策・教育・送金フローの見直しについて解説します。
BEC（ビジネスメール詐欺）とは？国内企業でも増える被害の実態
BECとは、Business Email Compromiseの略で、日本語では「ビジネスメール詐欺」と呼ばれます。犯罪者が企業の経営者、役員、従業員、取引先、会計事務所、弁護士などになりすまし、メールを使って金銭や情報をだまし取る詐欺です。
BECの大きな特徴は、ウイルスを添付した不特定多数向けのメールとは異なり、特定の企業や担当者を狙って行われる点です。攻撃者は、企業のWebサイト、SNS、ニュースリリース、採用情報、過去に流出した情報などから、組織構造、役員名、取引先、担当業務、メールアドレスの形式といった情報を調べます。そのうえで、実在する人物や取引に見せかけたメールを送信します。
たとえば、経理担当者に対して社長を名乗り、「重要な買収案件のため、至急この口座へ送金してほしい」と依頼するケースがあります。また、取引先の担当者になりすまし、「請求先口座が変更になりました。今後は新しい口座へ支払ってください」と偽の口座情報を伝える手口もあります。
国内企業においても、海外送金を伴う取引や、グループ会社・海外拠点とのやり取りを狙った被害が発生しています。近年では、海外取引の有無にかかわらず、国内の取引先を装った口座変更詐欺や、経営者を装った不正送金依頼も警戒すべき状況です。
BECが一般的なフィッシング詐欺と異なる点
BECは、広い意味ではフィッシング詐欺の一種と考えられますが、一般的なフィッシングメールとは目的や手口に違いがあります。
一般的なフィッシングメールでは、宅配事業者、金融機関、ECサイト、クラウドサービスなどを装い、偽サイトへ誘導してアカウント情報やクレジットカード情報を盗み取ろうとします。一方、BECでは、メール本文のやり取りそのものを利用して、担当者に送金や情報提供をさせようとするケースが多く見られます。
BECでは、必ずしも不審なリンクや添付ファイルが含まれているとは限りません。むしろ、通常の業務メールと同じような形式で、「今すぐ対応してほしい」「社外秘の案件なので誰にも確認しないでほしい」といった心理的な圧力をかけてくる点が特徴です。
BECで使われる主な手口
BECにはいくつかの代表的なパターンがあります。手口を知っておくことで、怪しいメールを受信した際に違和感を持ちやすくなります。
経営者・役員になりすます手口
社長、代表取締役、役員、海外拠点の責任者などを装い、経理担当者や財務担当者へ送金を指示する手口です。攻撃者は、社長の名前や役職、会社のメールアドレス形式を調べたうえで、本物に近いメールアドレスを作成します。
メールでは、「会議中で電話に出られない」「極秘案件なのでほかの人に話さないでほしい」「本日中に処理が必要」といった表現を使い、通常の承認フローを飛ばさせようとします。経営者からの指示であることと、緊急性・機密性を組み合わせることで、担当者が冷静に確認する時間を奪うのが狙いです。
取引先になりすます口座変更詐欺
実在する取引先の担当者や経理部門を装い、「振込先口座を変更しました」「今月分の請求から新しい口座へ送金してください」と連絡してくる手口です。送金先として指定されるのは、もちろん攻撃者が管理する口座です。
攻撃者が取引先のメールアカウントを乗っ取っている場合、実際のメールアドレスから連絡が来ることもあります。そのため、メールアドレスが正しいからといって、安全だと判断することはできません。口座変更はメールだけで完結させず、事前に登録されている電話番号や連絡先を使って確認することが重要です。
メールアカウントを乗っ取る手口
BECでは、攻撃者が企業や取引先のメールアカウントを不正に取得し、本物のアカウントから詐欺メールを送る場合があります。メールアカウントが乗っ取られると、攻撃者は過去のメールのやり取りを確認し、取引内容、担当者名、請求時期、口座情報、文体などを把握できます。
その結果、実際の取引メールへの返信という形で、非常に自然な詐欺メールを送ることが可能になります。過去の会話の流れを把握しているため、受信者が違和感を持ちにくく、被害につながるリスクが高まります。
請求書・見積書を偽装する手口
請求書や見積書を添付し、振込先だけを偽の口座へ書き換える手口もあります。見た目が本物の書類に近く、会社名、ロゴ、担当者名、請求番号なども正確に記載されている場合、担当者は見抜きにくくなります。
PDFやExcelファイルが添付されているからといって、本物とは限りません。請求書の内容や金額だけでなく、振込先口座が以前と変わっていないか、変更連絡が正規の手順で行われているかを確認する必要があります。
人事・給与情報を狙う手口
BECは送金詐欺だけではありません。人事担当者や給与担当者を狙い、従業員の氏名、住所、給与情報、口座情報、マイナンバー関連情報などを取得しようとするケースもあります。
たとえば、役員や税理士、行政機関の担当者を装い、「給与台帳を至急送ってほしい」「従業員一覧の提出が必要」と依頼する手口が考えられます。情報を送付してしまうと、個人情報漏えいやなりすまし、不正利用などにつながるおそれがあります。
社長や取引先になりすますメールに見られる典型的な特徴
BECメールは巧妙化しており、日本語が不自然である、誤字脱字が多いといった分かりやすい特徴だけで判断することはできません。AI翻訳や生成AIの悪用により、自然な日本語で作成された詐欺メールも増えています。
そのため、メール本文だけではなく、送信元、依頼内容、タイミング、普段の業務フローとの違いなど、複数の観点から確認することが大切です。
送信元メールアドレスが似ているが微妙に違う
なりすましメールでは、本物のメールアドレスやドメインに似た文字列が使われることがあります。たとえば、英字の「l（エル）」と「I（アイ）」、数字の「0（ゼロ）」と英字の「O（オー）」、ハイフンの有無、ドメイン末尾の違いなどを利用して、本物に見せかけます。
会社名が「example.co.jp」であるにもかかわらず、「examp1e.co.jp」や「example-jp.com」のようなメールアドレスから届く場合は注意が必要です。表示名に社長や取引先の担当者名が書かれていても、実際のメールアドレスまで必ず確認しましょう。
また、スマートフォンやメールソフトでは送信者名だけが目立ち、メールアドレス全体が表示されないことがあります。返信や送金対応を行う前に、送信者情報を展開して確認する習慣を付けることが重要です。
急ぎ・秘密・例外対応を強調している
BECでは、受信者に冷静な確認をさせないため、「至急」「本日中」「今すぐ」「極秘」「社内には共有しないで」といった表現が使われます。
もちろん、実際の業務でも急ぎの送金や機密性の高い案件はあります。しかし、緊急性や秘密性を理由に、通常の確認手順や承認フローを省略するよう求められた場合は、特に警戒が必要です。
たとえば、「社長の指示だから経理部長には確認しなくてよい」「電話は不要。メールだけで進めてほしい」「監査前なので関係者以外には話さないで」といった内容は、典型的な危険信号といえます。
普段と異なる依頼内容・連絡方法である
なりすましメールは、普段の業務と異なる依頼をしてくることがあります。これまで送金を依頼したことがない役員から突然振込を求められたり、通常は電話で確認してくる取引先がメールだけで口座変更を伝えてきたりする場合は注意が必要です。
また、普段は日本語で連絡する担当者が急に英語でメールを送ってくる、いつも使用しているメールアドレスではなくフリーメールアドレスから連絡してくる、普段と異なる時間帯に不自然な依頼をしてくるといった点も、確認すべきポイントです。
振込先口座の変更や新規送金を求めている
BECの最終目的の多くは不正送金です。そのため、口座変更、新しい送金先の追加、支払予定の前倒し、通常と異なる通貨での送金などが含まれている場合は、慎重な確認が必要です。
特に、これまでの取引実績がある相手であっても、振込先口座の変更は高リスクな手続きです。メールだけで変更を受け付けるのではなく、取引先の公式サイトや契約書に記載された電話番号、社内で既に登録されている連絡先など、別経路で本人確認を行いましょう。
メールの返信先が異なる
送信元のメールアドレスは正しく見えても、返信先として別のメールアドレスが設定されている場合があります。これは、返信を攻撃者のメールアドレスへ誘導するための手口です。
メールソフトによっては返信先の違いに気付きにくいことがあります。口座変更や送金依頼のような重要な内容を受信した場合は、返信ボタンを押す前に、返信先アドレスも確認するようにしましょう。
不審なリンク・添付ファイルが含まれている
BECメールには、偽の請求書、見積書、送金依頼書などが添付されることがあります。また、クラウドストレージや電子署名サービスを装ったリンクが含まれている場合もあります。
添付ファイルを開いたり、リンク先でID・パスワードを入力したりすると、マルウェア感染やアカウント乗っ取りにつながるおそれがあります。予期しない添付ファイルやリンクは、送信者が実在するように見えても、安易に開かないことが大切です。
怪しいメールを受信したときの確認手順と初動対応
BECが疑われるメールを受信したとき、最も重要なのは、メールの指示どおりに急いで行動しないことです。送金、口座変更、機密情報の送付、添付ファイルの開封、リンクのクリックなどは、確認が終わるまで保留にしましょう。
1. メールだけで判断せず、別の手段で本人確認をする
社長や取引先からの重要な依頼に見えるメールを受け取った場合は、メール以外の方法で確認します。電話、社内チャット、対面、登録済みの連絡先など、攻撃者が操作していないと考えられる経路を使うことが原則です。
このとき注意したいのは、怪しいメールに記載されている電話番号へ連絡しないことです。メール内の電話番号や署名欄も偽装されている可能性があります。取引先の公式Webサイト、名刺、契約書、社内の取引先マスタなど、あらかじめ確認済みの情報を利用しましょう。
社長を名乗るメールであれば、社長本人だけでなく、秘書、直属の上長、経理責任者など、社内の定められた確認ルートを使うことも有効です。
2. 送信元・返信先・メールヘッダーを確認する
次に、送信元メールアドレスと返信先アドレスを確認します。表示名だけでは判断せず、ドメイン名や文字列の違いを確認しましょう。
さらに詳しく確認する必要がある場合は、メールヘッダー情報を確認します。メールヘッダーには、送信経路、送信元サーバー、認証結果などが記録されていることがあります。ただし、ヘッダーの判断には専門知識が必要な場合もあるため、少しでも不安があれば情報システム部門やセキュリティ担当者へメールを転送して確認を依頼しましょう。
3. 添付ファイルやリンクを開かない
怪しいメールに添付ファイルやリンクが含まれている場合は、安易に開かないようにします。特に、パスワード付きZIPファイル、マクロ付きExcelファイル、見覚えのない共有リンク、ログインを求めるページには注意が必要です。
すでにリンクをクリックしてしまった場合でも、慌てずに対応します。ログイン情報を入力していないか、ファイルをダウンロード・実行していないかを確認し、速やかに社内の情報システム部門やセキュリティ担当者へ報告しましょう。入力したパスワードがある場合は、別の安全な端末から変更することも必要です。
4. 送金や口座変更の処理を停止する
不正送金の可能性がある場合は、送金処理を進めない、または可能な限り早く停止することが重要です。すでに送金を実行してしまった場合でも、銀行や金融機関へ速やかに連絡することで、資金移転の停止や追跡につながる可能性があります。
送金後に気付いた場合は、自己判断で対応せず、社内の経理責任者、法務部門、情報システム部門、経営層などへ直ちにエスカレーションしましょう。対応の遅れは、資金回収が難しくなる要因になります。
5. 社内へ報告し、同様のメールが届いていないか確認する
BECでは、同じ企業内の複数人に似たメールが送られていることがあります。一人が怪しいメールに気付いた場合は、情報システム部門やセキュリティ担当者へ報告し、社内に注意喚起を行うことが重要です。
被害が発生していない段階でも、送信元、件名、本文、添付ファイル名、リンク先などの情報を共有することで、ほかの従業員が同じ手口にだまされることを防ぎやすくなります。
6. 証拠となる情報を削除せず保存する
怪しいメールを受け取った場合、すぐに削除したくなるかもしれません。しかし、調査や被害対応のためには、メール本文、送信元、添付ファイル、リンク、メールヘッダー、送受信日時などが重要な情報になります。
不審メールは削除する前に、社内の定められた手順に従って報告・保全しましょう。メールを転送する際は、添付ファイルやリンクを不用意に開かないよう注意し、必要に応じて情報システム部門の指示を受けてください。
BEC被害を防ぐためのメール対策・教育・送金フローの見直し
BEC対策では、メールセキュリティ製品を導入するだけでは十分とはいえません。攻撃者は、技術的な対策をすり抜けるメールを送ったり、実在するアカウントを乗っ取って正規メールのように見せかけたりすることがあります。
そのため、技術的対策、従業員教育、送金フロー、インシデント対応を組み合わせ、複数の対策を重ねることが重要です。
メール認証技術を設定する
自社ドメインを使ってメールを送受信している企業は、SPF、DKIM、DMARCといったメール認証技術の導入・設定を検討しましょう。これらは、送信元ドメインのなりすましを検知・抑止するための仕組みです。
SPFは、特定のドメインからメールを送信してよいサーバーをDNS上で指定する仕組みです。DKIMは、メールに電子署名を付与し、メールが途中で改ざんされていないことなどを確認する仕組みです。DMARCは、SPFやDKIMの認証結果をもとに、認証に失敗したメールをどのように扱うかを受信側へ示す仕組みです。
これらを適切に設定することで、自社ドメインを直接偽装したメールへの対策につながります。ただし、似たドメインを使うなりすましや、取引先の正規アカウントの乗っ取りまで完全に防げるわけではありません。メール認証は重要な対策の一つですが、単独で十分な対策ではないことを理解しておく必要があります。
多要素認証を導入し、メールアカウントの乗っ取りを防ぐ
BECでは、メールアカウントの乗っ取りが被害拡大の起点になることがあります。そのため、メールやクラウドサービスのアカウントには、多要素認証（MFA）を導入することが重要です。
多要素認証とは、ID・パスワードに加えて、認証アプリ、セキュリティキー、生体認証、ワンタイムコードなどを組み合わせて本人確認を行う仕組みです。仮にパスワードが漏えいしても、追加の認証要素がなければログインしにくくなります。
あわせて、使い回しのない強固なパスワードを設定する、不要になったアカウントを削除する、不審なログイン通知を確認する、管理者権限を必要最小限にするなど、基本的なアカウント管理を徹底しましょう。
メールフィルタリングとURL・添付ファイル対策を行う
メールセキュリティ製品やクラウドメールのセキュリティ機能を活用し、不審な送信元、なりすましドメイン、悪意ある添付ファイル、フィッシングサイトへのリンクなどを検知・隔離することも重要です。
ただし、業務上必要なメールまで誤ってブロックされる可能性もあるため、導入後は運用状況を確認し、ルールを調整する必要があります。また、メールフィルタをすり抜けたメールが届くこともあるため、従業員側の確認意識と組み合わせることが不可欠です。
送金先変更はメールだけで完結させない
BEC対策として特に効果的なのが、送金先口座の変更や新規口座への送金について、メール以外の確認を必須にすることです。
たとえば、取引先から口座変更の連絡があった場合は、事前に登録されている担当者の電話番号へ連絡し、変更内容を確認するルールを設けます。メールに記載された電話番号ではなく、契約書、名刺、取引先マスタ、公式サイトなどで確認済みの連絡先を使うことが重要です。
また、口座変更の申請書類、社内の承認者、確認記録、変更後の初回送金時の再確認などを運用に組み込むことで、不正な変更を見逃しにくくなります。
送金には複数人による承認フローを設ける
経営者を装ったメールによる不正送金を防ぐには、一人の判断だけで送金できない仕組みを作ることが有効です。送金依頼者、内容確認者、承認者、実行者を分ける「職務分掌」の考え方を取り入れましょう。
たとえば、一定額以上の送金、新規の振込先、海外送金、通常と異なる通貨での支払いなどは、経理担当者だけで処理せず、上長や責任者による二重承認を必須とします。送金依頼のメールが社長名義であっても、事前に定めたフローを例外なく適用することが大切です。
「社長からの指示だから確認できない」「急ぎの案件だから通常フローを飛ばす」といった状況こそ、BECの攻撃者が狙う場面です。経営層自身が、緊急時であっても確認手順を省略しない方針を明確に示す必要があります。
従業員教育を定期的に実施する
BEC対策では、経理・財務担当者だけでなく、すべての従業員に対する教育が重要です。攻撃者は、営業担当者から取引情報を得ようとしたり、人事担当者から従業員情報を取得しようとしたり、役員や秘書を経由して送金担当者へ接触したりする可能性があります。
教育では、BECの概要を説明するだけでなく、実際に起こり得るメール例を用いて、「どこに違和感があるのか」「受信したら何をすべきか」を考える形式が効果的です。
研修や注意喚起では、次のような内容を扱うとよいでしょう。
- 社長・役員・取引先になりすますメールの代表例
- 送信元アドレス、返信先、リンク先の確認方法
- 口座変更や送金依頼を受けた際の確認ルール
- 怪しい添付ファイルやリンクを開かないための注意点
- 多要素認証とパスワード管理の重要性
- 不審メールを受信した際の報告先と連絡方法
- 誤ってクリック・入力・送金した場合の初動対応
報告しやすい体制とインシデント対応手順を整える
従業員が怪しいメールを受信したとき、「こんなことで相談してよいのか」「誤ってリンクを押してしまったので怒られるのではないか」と感じると、報告が遅れる可能性があります。
そのため、情報システム部門やセキュリティ担当者への報告窓口を明確にし、早期報告を促すことが重要です。報告用のメールアドレス、チャット窓口、緊急連絡先などを周知し、不審メールを転送する際のルールも定めておきましょう。
また、実際に不正送金やアカウント乗っ取りが発生した場合に備え、金融機関への連絡、アカウント停止、パスワード変更、ログ保全、関係者への連絡、取引先への注意喚起、再発防止策の検討といった対応手順を整理しておくことが大切です。
まとめ
BEC（ビジネスメール詐欺）は、社長、役員、取引先、会計担当者などになりすまし、送金や口座変更、機密情報の提供をだまし取ろうとするサイバー犯罪です。実際の業務メールに似せた内容で届くことが多く、送信元アドレスだけでは判断できないケースもあります。
特に注意すべきなのは、「至急」「秘密」「通常の確認は不要」といった形で心理的な圧力をかけ、送金や情報提供を急がせるメールです。怪しいメールを受信した場合は、メールだけで判断せず、登録済みの電話番号や社内チャットなど、別経路で本人確認を行いましょう。
企業としては、メール認証、多要素認証、メールフィルタリングなどの技術的対策に加え、送金先変更時の本人確認、複数人による承認フロー、従業員教育、報告体制の整備を進める必要があります。
BEC対策で重要なのは、「メールに書かれている内容を信じて急がない」ことです。通常と異なる送金依頼や口座変更を受けたときは、一度立ち止まり、決められた手順に沿って確認する習慣を組織全体で定着させましょう。
