ビジネスメール詐欺（BEC）を防ぐ社内の手順

ビジネスメール詐欺（BEC）を防ぐ中心は、「振込先の変更や急ぎの送金の依頼は、メール以外の方法で、こちらが知っている連絡先に確かめてから処理する」という社内の手順を決め、例外なく守ることです。偽のメールは、文面も差出人の表示も本物とよく似ているため、見た目で見抜くことだけに頼るのは難しいと考えられます。

ビジネスメール詐欺とは

ビジネスメール詐欺とは、取引先や自社の経営者などになりすまして偽のメールを送り、攻撃者が用意した口座へ送金させる詐欺です。警察庁は、BEC（Business Email Compromise）とも呼ばれるこの詐欺について、振込先の口座の変更などをメールで指示する手口が多く、多くは海外の口座が指定され、一度送金すると回収が非常に難しいとしています。

出典：ビジネスメール詐欺に注意！（警察庁）

IPAの「情報セキュリティ10大脅威 2026」の組織編でも、「ビジネスメール詐欺」が10位に挙げられています。

出典：情報セキュリティ10大脅威 2026（IPA、2026年1月29日）

よくある手口

よくある手口は、取引先を装って請求書の振込先が変わったと伝えるものと、経営者や役員を装って急ぎの送金を指示するものです。

• 取引先を装う：「口座を変更しました」「監査の都合で、今回だけ別の口座に」などと、いつもの請求のやり取りに紛れて振込先の変更を伝えます
• 経営者を装う：「極秘の案件のため、ほかの人には言わずに至急送金してほしい」と、経理の担当者に直接指示します
• 乗っ取ったアカウントを使う：取引先や社員のメールのアカウントを乗っ取り、本物のアドレスから、過去のやり取りの続きとして偽の依頼を送ります

乗っ取ったアカウントから送られる場合は、差出人のアドレスも本物で、過去のやり取りの文面も残っているため、メールの見た目だけでは見分けがつきません。そのため、手順で確かめることが大切です。

社内の手順で防ぐ

社内の手順は、「誰が、どの依頼を、どの方法で確かめるか」を決めておくものです。警察庁は、送金に関するメールを受けたら、電話やFAXなどメール以外の方法で取引先の担当者に確かめ、その際は、メールに書かれた連絡先ではなく、名刺や自分の連絡先の一覧に載っている番号を使うよう勧めています。

出典：ビジネスメール詐欺に注意！（警察庁）

手順に書いておきたいことは、次のとおりです。

振込先のマスターを守る

取引先の口座の情報は、会計や支払いのシステムに登録した内容（マスター）を正とし、メールの依頼だけで書き換えない決まりにします。書き換えるときは、確かめた記録を添えて、別の人が承認します。マスターの整え方はマスターデータの整備が必要な理由と進め方で説明しています。

経営者からの依頼にも例外をつくらない

経営者や役員を装う手口では、「急いで」「内密に」と急がせ、手順を省かせようとします。経営者自身が「手順を省いてよいとメールで指示することはない」と社内に伝えておくと、担当者が確かめる手順を踏みやすくなります。

取引先とも取り決めておく

振込先の変更の伝え方を、取引先とあらかじめ取り決めておくと、偽の依頼に気づきやすくなります。たとえば、「口座の変更は、メールだけでは受け付けず、登録済みの担当者どうしで電話で確かめてから反映する」と、取引を始めるときや請求の手続きを見直すときに伝えておきます。自社が振込先を変えるときも、同じ手順で取引先に伝えると、相手の確かめる手間を減らせます。

技術的な備えを組み合わせる

手順に加えて、なりすましとアカウントの乗っ取りを防ぐ技術的な備えを組み合わせます。

自社のドメインのなりすましを減らす

自社のドメインを名乗る偽のメールを、受け取る側で見分けやすくする仕組みに、SPF・DKIM・DMARCがあります。設定の順番は、SPF・DKIM・DMARCとは。なりすましメールへの対策で説明しています。ただし、似たドメインを取って送ってくる手口や、乗っ取られた本物のアカウントからのメールは、これらの仕組みだけでは防げません。

アカウントの乗っ取りを防ぐ

社員と取引先のメールのアカウントが乗っ取られると、本物のアドレスから偽の依頼が届きます。自社のメールのアカウントには多要素認証を設定し、身に覚えのない転送の設定や、不審なログインがないかを確かめます。広げ方は多要素認証を社内に広げる進め方で説明しています。

社外からのメールに印をつける

社外から届いたメールの件名や本文の先頭に「社外」といった印を付ける設定は、多くのメールのサービスで使えます。社内の人を装うメールに気づくきっかけになります。

送金してしまったら

送金した後に詐欺に気づいたら、すぐに送金元の金融機関に送金のキャンセルや組戻しの手続きを依頼し、届いたメールなどを持って最寄りの警察署に相談します。警察庁は、ふだんの備えとして、社内で手口や不審なメールの情報を共有し、取引先とも日ごろから連絡を密にして、組織全体で対策を高めるよう勧めています。

出典：ビジネスメール詐欺に注意！（警察庁）

あわせて、どのアカウントが乗っ取られていたのかを調べ、パスワードの変更と多要素認証の設定を行います。取引先のアカウントが乗っ取られていた疑いがある場合は、相手にも伝えます。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、送金の確かめ方などの社内の手順づくり、メールの認証の設定の確認、社員の訓練をご支援しています。AIを使ったなりすましのメールや偽の音声に備えたルールづくりもお手伝いしています。まずは無料のセキュリティの自己診断で、備えの状況を確かめることもできます。