ビジネスメール詐欺とは？攻撃手口と被害を防ぐ実践的な対策
メールで届く1通の「送金先変更のお知らせ」。差出人は取引先の担当者名、メールアドレスも一見すると本物に見える。担当者が指示通りに振り込みを実行した後、初めて「騙された」と気づく。これがビジネスメール詐欺（BEC：Business Email Compromise）の典型的な流れです。
フィッシングメールや迷惑メールとは一線を画すのが、この詐欺の最大の特徴です。不特定多数に送りつける粗雑な詐欺とは異なり、標的企業の業務フローや人間関係を事前に調査したうえで、極めて巧妙に偽装された1通のメールが届きます。担当者が「おかしい」と感じる余地すら与えないよう、周到に設計されているのです。
本記事では、ビジネスメール詐欺の実態から手口の類型、被害に遭った際の対処法、そして企業が講じるべき具体的な対策まで、順を追って解説します。
ビジネスメール詐欺とは何か
ビジネスメール詐欺とは、攻撃者が経営者・取引先・上司などの実在する人物になりすまし、巧妙に偽装したメールで企業の担当者を騙し、攻撃者の口座へ送金させるサイバー犯罪です。英語ではBusiness Email Compromise（BEC）と呼ばれます。
フィッシング詐欺との違いを明確にしておくと、フィッシングは「ウイルスを仕込んだリンクや添付ファイルを開かせる」ことが目的です。一方、ビジネスメール詐欺は添付ファイルもリンクも使わず、メール本文の内容だけで担当者を行動させることを目的とします。ウイルス対策ソフトで検知できないケースが多いのはこのためです。
もう一点、スパムメールとの違いも押さえておく必要があります。スパムメールは大量送信による確率論的なアプローチです。これに対してBECは、1社・1人の標的に対して時間と労力をかけて準備する「精密射撃型」の攻撃です。攻撃者がターゲット企業を調査してから実際に詐欺メールを送るまで、数週間から数カ月を費やすケースも珍しくありません。
なぜ見破りにくいのか
攻撃者はメールを送る前に、LinkedInや企業のWebサイト、SNSなどを調査して組織内の人間関係・業務フロー・使用している取引先の情報を把握します。さらに、過去のメールに不正アクセスして文体やメールの形式まで模倣するケースも報告されています。
受信者の側から見ると、「知っている人の名前」「ありそうな内容」「急ぎの依頼」という3点が揃ったメールが届く。これが疑いを持ちにくくする構造的な理由です。
加えて、攻撃者は送信タイミングも計算します。担当者が多忙な月末・週末前・長期休暇直前を狙って送ることで、確認行動を省略させようとします。「今日中に処理しないといけない」という状況が、判断力を鈍らせるのです。
世界・国内の被害状況
米国FBI（連邦捜査局）のIC3（インターネット犯罪苦情センター）のデータによれば、BECは毎年インターネット犯罪の中で最も高額な被害をもたらす犯罪類型の一つとされており、2023年の報告書では被害総額が29億ドルを超えています（IC3 2023 Internet Crime Report）。
国内でも警察庁がビジネスメール詐欺への注意を呼びかけており、日本企業が海外取引先になりすまされた犯人に数千万円単位の送金被害を受けた事例が継続的に報告されています（警察庁：ビジネスメール詐欺に注意）。
注目すべきは、BECによる被害がランサムウェアなどの派手なサイバー攻撃に比べて報道されにくい点です。企業が被害を公表することへの躊躇や、送金完了後に詐欺と気づくまでのタイムラグが、実態の把握を難しくしています。水面下での被害は、統計に表れる数字をはるかに上回ると考えられています。
ビジネスメール詐欺の5つの手口
攻撃手法はFBIの分類をもとに、大きく5つのタイプに整理できます。それぞれに特有の「狙い目」があり、対策の方向性も異なります。
1. 経営者・役員へのなりすまし（CEO詐欺）
最も件数が多い手口です。攻撃者はCEOやCFOなど決裁権のある役職者を騙り、財務担当者や経理担当者に対して直接メールを送ります。
典型的なメール文面はこうなります。「今から緊急の送金が必要です。取引の機密性を保つため、今回の件は他の誰にも話さないでください。金額は○○円、先方の口座はXXXXです」。
このメールに共通する特徴を整理すると、次の3点です。
社内の承認フローを意図的に迂回させる
「機密」「緊急」「特別指示」などのキーワードで心理的プレッシャーをかける
送金後に「確認した」旨の返信を求め、行動を完結させる
なぜこれが機能するかというと、上司の緊急指示に対して部下が「本当ですか？」と問い返すことは、職場の力学上難しい場面があるからです。攻撃者はその心理を巧みに突いています。さらに言えば、「役員からの直接指示に疑問を呈した」という行動自体が評価に影響するかもしれないという恐れが、確認行動を妨げます。
2. 取引先へのなりすまし（口座変更詐欺）
取引先企業の担当者になりすまし、「振込先口座が変更になりました」という通知を送る手口です。メールアドレスのドメインをわずかに変えて本物に見せかけたり（例：@example.com→@examp1e.com）、実際に取引先のメールアカウントに不正アクセスして本物のメールアドレスから送信するケースもあります。
この手口の厄介な点は、不正アクセスが利用された場合、受信者が差出人アドレスをどれだけ確認しても見破れないことです。通常の業務の延長線として受け取るため、担当者が疑念を持ちにくい状況が生まれます。
口座変更通知を受け取った際に「以前の口座番号と照合する」という習慣を持つ担当者であれば気づける可能性もありますが、長年の取引先からの連絡であれば照合自体を省略しがちです。攻撃者はその「慣れ」を利用します。
3. 弁護士・法律専門家へのなりすまし
企業の法務担当や経営者に対して、弁護士や法律事務所を名乗るメールが届きます。「現在進行中のM＆AやIPO手続きに関連して、至急送金が必要になりました」「詳細は守秘義務のため口外できません」といった内容で、受信者を孤立させたうえで送金を促す手法です。
「弁護士」という権威と「守秘義務」という言葉の組み合わせが、受信者の確認行動を抑制するよう設計されています。M＆AやIPOの話が進行中であること自体を社内で秘匿しているケースでは、「詳細を他者に確認できない」という状況が攻撃者の思うつぼになります。
4. データ流出型（W-2詐欺）
米国で多発している手口で、人事部門の担当者に対して経営者を騙ったメールを送り、従業員の給与関連情報や個人情報を送信させます。詐取した情報は別の詐欺行為に利用されるほか、標的型フィッシングの材料にもなります。
日本国内でも、社員の個人情報や取引先リストの詐取を目的とした類似の手口は増加傾向にあります。「送金させる」というわかりやすい被害がないため、気づくのが遅れやすく、二次的な被害が広がるリスクがあります。
5. 不動産決済詐欺
不動産取引の最終決済タイミングを狙い、買主・売主・仲介業者のいずれかになりすまして振込先を変更させる手口です。1回の取引で被害額が数千万円から数億円規模になりうるため、FBIもとりわけ注意を促しています。
この手口が成立しやすい背景には、不動産取引が複数の当事者を介するという構造的な特性があります。売主・買主・仲介業者・司法書士・金融機関がそれぞれメールでやり取りする過程で、攻撃者が「中間者」として割り込む余地が生まれます。国内でも高額の不動産取引が増加するなか、今後注視が必要な手口です。
実際の被害事例
具体的な事例を参照すると、被害の深刻さと、どれほど精巧に設計された詐欺であるかが明確になります。
事例1. 大手航空会社から3億8,000万円を詐取
取引先を装ったメールで送金先口座の変更を指示され、担当者が複数回にわたって振り込みを実行しました。途中で気づいた時点では、資金の大部分がすでに海外に移送されていました。注目すべきは、1回あたりの送金額がそれぞれ通常の取引額と近似していたため、財務担当者が「違和感を覚えにくい」状況が作られていた点です。
事例2. 日本人が米国の農業関連企業から7,800万円を詐取
日本当局による捜査の結果、送金指示を行った人物が日本に在住していたことが判明したケースです。国内からの指示で海外企業が被害を受けるという、越境型のBECとして注目されました。BECは海外企業が被害者になるケースだけでなく、日本人が加害側として関与するケースもあることを示す事例です。
事例3. 「Operation reWired」で世界281人を逮捕
2019年にFBI・インターポール・各国当局が連携して実施したBEC摘発作戦で、世界各地で281人が逮捕されました。このオペレーションでは西アフリカを拠点とする犯罪グループの関与が確認されており、BECが組織的・国際的な犯罪として進化していることが示されました（FBI：Operation reWired）。
摘発された組織は、標的調査・メール送信・資金洗浄をそれぞれ専門の「部署」が担当するという分業体制を取っていました。個人の犯罪というよりも、企業的な組織運営がなされていたことが捜査で明らかになっています。
これらの事例に共通するのは、「業務の正規フローに見せかけた指示が、内部確認なしに実行された」という点です。担当者個人の注意力だけで防ぐには、構造的な限界があります。
被害に遭った場合の対処法
万が一、送金後に詐欺だと気づいた場合、時間との闘いになります。対応が早ければ早いほど、資金回収の可能性が高まります。以下の手順を速やかに実行してください。
1. 銀行に即時連絡し、送金のキャンセルや振込停止を依頼する
送金指示から24時間以内、特に最初の数時間が勝負です。国内銀行への送金であれば「振り込め詐欺救済法」に基づく手続きが適用できる場合があります。海外への送金の場合は、SWIFT（国際送金ネットワーク）経由での資金追跡・回収依頼も選択肢となりますが、一度海外口座に到達した資金を取り戻すことは現実的に難しく、成功率は高くありません。
「銀行に連絡する前に社内で確認しよう」と考える時間が、回収の可能性を着実に下げます。まず銀行への連絡を最優先にすることが重要です。
2. 攻撃経路を特定し、自社メールアカウントのセキュリティを確認する
どのメールアドレスから攻撃を受けたのか、メールヘッダーを保存・解析します。自社メールアカウントへの不正アクセスが疑われる場合は、パスワードを即時変更し、多要素認証（MFA）を有効化します。攻撃者がまだアカウントにアクセスできる状態であれば、別の標的や取引先への二次攻撃に利用される恐れがあります。
3. 証拠を保全する
受け取ったメール、やり取りのログ、送金指示に関する書類を消去・上書きせず保存します。警察への届け出や保険申請において、これらが不可欠な証拠となります。特にメールヘッダーは送信元IPアドレスなどの技術的情報を含むため、削除しないよう注意が必要です。
4. 警察に通報・相談する
サイバー犯罪については、各都道府県警察のサイバー犯罪相談窓口または最寄りの警察署に相談します。被害届の提出により、犯罪記録として残ると同時に、広域捜査の端緒にもなり得ます。また、IPAの情報セキュリティ安心相談窓口への相談も有効です（IPA：情報セキュリティ安心相談窓口）。
「被害額が小さいから届け出ても意味がない」という考えは誤りです。被害の届け出が積み重なることで、捜査機関が攻撃者の手口やパターンを把握し、広域捜査につながるケースがあります。
5. 社内で事実関係を共有し、二次被害を防ぐ
被害が発覚したことを社内で速やかに共有し、同様のメールが他の担当者にも届いていないか確認します。攻撃者は複数の標的に同時進行でアプローチしていることがあるためです。また、取引先が攻撃の踏み台にされている可能性がある場合は、速やかに取引先にも連絡し、注意を促します。
企業が実施すべき対策
BECへの対策は「技術的対策」「組織的対策」「人的対策」の3層で考えることが重要です。どれか一つだけでは穴が残ります。
技術的対策
送信元ドメインの認証技術を設定する
SPF（Sender Policy Framework）・DKIM（DomainKeys Identified Mail）・DMARC（Domain-based Message Authentication, Reporting & Conformance）の3つは、メールのなりすましを防ぐための標準的な認証技術です。
SPFは「このドメインからのメール送信を許可するサーバー」を定義し、DKIMはメールに電子署名を付与して改ざんを検知します。そしてDMARCは、SPFやDKIMの認証に失敗したメールをどう扱うか（受信拒否・隔離・通過）のポリシーを設定できる仕組みです。
自社ドメインへのなりすましを防ぐうえで、DMARC設定は特に重要です。設定が不十分な企業は、攻撃者に自社ドメインを詐称されるリスクがあります。IPAが公開しているDMARCの設定ガイドラインを参照しながら、自社環境を定期的に点検することをお勧めします。
メールの電子署名（S/MIME）を導入する
S/MIMEは、メールに電子署名を付与することで「本物の差出人から送られたメールである」ことを受信者が検証できる仕組みです。送信元の正当性を技術的に担保できるため、なりすましメールの識別に有効です。
電子署名が付いていないメールが取引先から届いた場合に「確認が必要なメール」として扱うルールを社内で定めるという運用も実践的です。技術的な仕組みと運用ルールを組み合わせることで、対策の実効性が高まります。
多要素認証（MFA）の導入でアカウント乗っ取りを防ぐ
BECの多くは、事前に標的のメールアカウントへの不正アクセスを伴います。Microsoftのデータによれば、MFAを有効にすることでアカウント侵害の99.9%以上を防げるとされています。メールサービスだけでなく、業務に使用するすべてのクラウドサービスにMFAを設定することが基本です。
ウイルス対策ソフトとEDRの活用
BECは添付ファイルやリンクを使わない攻撃もありますが、前段階として標的企業のメールアカウントへの不正アクセスや情報収集が行われることが多くあります。ウイルス対策ソフトやEndpoint Detection and Response（EDR）ツールの導入、OSやメールクライアントの最新状態への維持が、攻撃の入り口を塞ぐ有効な手段です。
組織的対策
送金や口座変更の確認は「別経路」で行う
メール以外の方法、電話や対面確認で、送金指示の正当性を確認するルールを設けることが最重要です。ここで重要なのは、「返信メールで確認する」のではなく、事前に登録済みの電話番号に直接かけて確認するという点です。攻撃者がメールを乗っ取っている場合、同じメールスレッドで返信をもらっても意味がありません。
「電話確認に1分かかるより、数千万円を失う方がコストが高い」この基本を、業務フローとして明文化することが出発点です。
送金フローに承認ステップを複数設ける
一人の担当者の判断で送金が完結しない体制を整えます。金額が高額になるほど、複数名の承認が必要になる仕組みが有効です。たとえば「50万円以上の送金は上長承認必須」「口座変更の場合は部門長と財務担当の2名承認が必要」といった具体的なルール設計が求められます。これは内部不正の抑止にもつながります。
「緊急・機密・直接指示」への対応マニュアルを整備する
「CEOから急ぎで送金を指示された」という状況に担当者が置かれた際、「まず電話で本人確認する」というルールが事前に明示されていれば、担当者は「マニュアル通りに確認します」と答えやすくなります。個人の判断に委ねるのではなく、確認行動をルールとして組織に埋め込むことが重要です。
人的対策
定期的なセキュリティ教育と模擬訓練
技術的・組織的な対策と同様に重要なのが、社員一人ひとりの認識です。ビジネスメール詐欺の特徴・実際の事例・社内での確認フローを定期的に教育するとともに、模擬フィッシングメールを使った演習トレーニングも効果的です。
セキュリティ教育で避けたいのは、「担当者が騙された＝担当者の責任」という文化を作ることです。BECの巧妙さを正確に伝え、「確認行動は業務の一部であり、疑うことは正しい」という組織文化を醸成することが長期的な対策になります。
特に、「上司や経営者からの緊急指示だからこそ、確認を省略してはいけない」という考え方を組織に根付かせることが重要です。実際、被害の多くは「疑っていたが確認しにくかった」というケースです。
ビジネスメール詐欺を見破るための着眼点
対策を実施しながらも、現場の担当者が「おかしい」と感じる感覚を磨くことは変わらず重要です。以下のシグナルが見られたメールは、特に注意が必要です。
送金・口座変更に関する指示がメール1本で届く
正規の取引では、口座変更を事前通知なしにメール1本で行うことは極めて稀です。取引先の口座情報は契約書や取引台帳で管理されているはずであり、「急にメールで口座変更の連絡が来る」という状況自体が異常です。
「急ぎ」「今すぐ」「今日中」という時間的プレッシャー
冷静な確認を阻止するための心理的誘導である場合があります。本当に急ぎの案件であれば、電話で直接連絡が来るはずです。「メールだけで急かされる」という状況には、立ち止まる習慣をつけることが有効です。
「他言無用」「機密扱い」という表現
社内の別の人間に確認することを封じる意図がある表現です。正規の業務指示で「他の誰にも話すな」という表現が使われること自体、業務上の異常を示しています。
差出人のメールアドレスをよく見ると微妙に違う
@company.co.jp が @company.co.jp.info になっている、あるいは l（エル）が 1（いち）に変わっているなど、ぱっと見ではわかりにくい変更が施されていることがあります。スマートフォンでメールを確認している場合は特に気づきにくいため、高額の送金指示には必ずPC画面でヘッダーまで確認する習慣が有効です。
日本語の表現が不自然
翻訳ソフトを使った文面では、慣用表現のずれや敬語の使い方に違和感が生じることがあります。ただし、近年は自然な日本語文章を生成するAIツールの普及により、文章の不自然さだけで判断することは難しくなっています。文体の自然さに頼りすぎず、内容・依頼内容・確認経路を複合的に判断することが重要です。
送金先が海外の見知らぬ銀行・口座
これまでの取引履歴にない国・銀行への送金指示は、BECの典型的なパターンです。送金先の変更は、それだけで「別途確認が必要な案件」として扱う基準を設けることをお勧めします。
まとめ：組織全体でBEC対策に取り組む
ビジネスメール詐欺の恐ろしさは、「システムの脆弱性」ではなく「人間の判断」を標的にしている点にあります。どれほど高性能なセキュリティツールを導入していても、担当者が指示に従って送金手続きを行えば、技術的な防壁は機能しません。
だからこそ、効果的な対策は「技術」と「人」と「ルール」の3層で構成される必要があります。メール認証技術の設定、送金フローの多重承認、電子署名の導入、そして社員教育。これらを組み合わせて初めて、組織としての耐性が高まります。
特に中小企業においては、「うちは狙われない」という思い込みが最大のリスクになります。BECの攻撃者は企業規模を選びません。むしろ、セキュリティリソースが限られる中小企業ほど、対策の穴を突かれやすい傾向があります。
「被害が出てから対策を検討する」では遅すぎます。まずは自社の送金フローに確認ステップが存在するか、メール認証の設定が適切か、社員がBECの手口を知っているかという3点から、現状を点検することが具体的な第一歩となります。
