ビジネスメール詐欺
Business Email Compromise
概要（サマリー）
ビジネスメール詐欺とは、取引先や自社の経営者になりすましたメールで、振込先の変更や緊急の送金を指示する詐欺である。
いつもの請求書の宛先だけが、こっそり別の口座に差し替えられるようなものだ。
英語では Business Email Compromise と呼び、頭文字から BEC と書かれる。
ソーシャルエンジニアリングの一種で、日本でも高額の被害が確認されている。
IPA の「情報セキュリティ10大脅威 2026」でも組織向けの10位に入り、9年連続で選ばれている。
詳細解説
お金の行き先をすり替える
攻撃者は、業務のメールを装って入金を促す。
典型的な文面は「振込先口座が変わった」「今日中に支払ってほしい」である。
指定先は攻撃者の口座で、海外口座だと送金後の回収が難しい。
見た目は通常の取引連絡に近い。
差出人の名前が知っている担当者でも、中身の口座情報だけが偽物、ということがある。
なりすましと、乗っ取られた本物のメール
送り方は大きく二つある。
一つは、本物によく似たアドレスから送るなりすましメールである。
もう一つは、取引先や自社のメールアカウントに不正に入り、本物のやり取りの途中から偽の指示を差し込む方法である。
後者は、過去の文面や請求の時期まで本物にそろう。
そのため、日本語の不自然さだけでは見破れない。
SPF / DKIM / DMARCは、送信元の偽装を受け取り側で見分けやすくする仕組みである。
ただし、すでに乗っ取られた正規アカウントから送られたメールは、送信元認証だけでは止まらない。
メールの外へ話を広げる
最近は、メールのあとで SNS のグループ作成を指示し、その中で送金を頼む事例もある。
たとえば社長を名乗るメールで「LINE グループを作って、招待用の QRコードを返信して」と頼み、グループ内で口座残高を聞き出してから振込を指示する。
IPA はこの種の相談が急増したと伝え、警察庁も「ニセ社長詐欺」として注意を呼びかけている。
音声や映像で経営者を装うディープフェイクが、同じ送金指示の説得に使われることもある。
届く手段がメール、SNS、電話のどれでも、急な支払先の変更は同じ種類の危険として扱う。
添付ファイルやリンクからフィッシングサイトへ誘導し、メールのパスワードを盗んでから本番の詐欺に進む流れもある。
最初の一通が、送金指示そのものとは限らない。
確認は、メールに書いてある連絡先でしない
送金、振込先の変更、急ぎの支払いを求められたら、メールの文面だけでは実行しない。
相手が普段から取引のある人でも、別の手段で内容を確かめる。
メール本文に書かれた電話番号は、偽装されていることがある。
名刺、契約書、自分のアドレス帳など、以前から持っている連絡先を使う。
可能なら、送金は二人以上の確認を経てから行う。
送金してしまったとき
指定口座へ送金してしまった場合は、すぐに振込元の金融機関へ連絡し、キャンセルや組戻しを依頼する。
同時に、届いたメールと、可能ならメールヘッダを残す。
取引先にも同じメールが届いていないか確認する。
その後、最寄りの警察署へ相談する。
メールアカウントのパスワード変更や、身に覚えのない転送設定の確認も、被害の拡大を止めるために必要になる。
原因調査は、関係者を必要最小限にして進める。内部の人の関与が疑われる場合に、情報が広がると調査の妨げになるためである。
フリーランスや個人事業にも届く
被害は大企業の経理だけではない。
取引先が一人のフリーランスでも、「請求書の口座を変更した」というメールは同じ形で届く。
個人開発の受注、クラウドの利用料、外注費の支払いも対象になる。
少人数だと、確認する相手が自分一人になりやすい。
その分、メールの文面だけで振込先を更新しないルールを、先に決めておく。
口座を変えるときは、契約時に決めた連絡手段で相手と話し、変更後の口座が次回の入金で合っているかも見る。
AIコーディングとの関係
個人開発でも、請求メールや振込案内の下書きを AI に頼む機会はある。
文面の作成と、振込先が正しいかの確認は別の作業である。
AI には「このメールは振込先の変更を求めています。送金する前のチェックリストにまとめて」と頼むと、見落としを減らせる。
AI の出力に口座番号や相手の連絡先が含まれていても、それを正本にしない。
契約書や管理画面など、普段使っている情報と照合する。
顧客の口座番号やメールの全文を、確認の必要がないのに AI へ貼らない。
よくある勘違い
日本語が不自然なメールだけが危険？
取引先の文面を見たうえで送る場合や、本物のアカウントから送る場合は、自然な日本語になる。
言葉の上手さではなく、支払い先や急ぎ方に不自然さがないかを見る。
知っている相手の名前なら本物？
表示名は本物の担当者や経営者でも、アドレスや口座が偽物のことがある。
名前が一致することと、指示が本物であることは別である。
送金したあとで相手に聞けば戻る？
海外口座へ移ったお金は、回収が難しい。
疑わしい指示は実行前に止め、送金後に気づいた場合は金融機関と警察へすぐ相談する。
まとめ
- ビジネスメール詐欺は、取引先や経営者を装い、振込先の変更や緊急送金を指示する詐欺である。
- 似たアドレスからのなりすましと、乗っ取られた本物のメールの両方がある。
- メールに書かれた連絡先ではなく、以前から知っている連絡先で内容を確認する。
- 送金してしまったら、金融機関への連絡と、メールの保存、警察への相談を優先する。
情報ソース
より詳しくAIに聞いてみよう
- ビジネスメール詐欺の流れを、いつもの請求書の宛先が差し替わる例で説明してください。
- なりすましメールと、乗っ取られた正規アカウントから送るビジネスメール詐欺の違いを整理してください。
- 振込先の変更を頼むメールを受けたとき、送金前に確認する項目を教えてください。
- 個人開発の請求メールを AI に下書きさせるとき、振込先を誤らないための指示文を作ってください。
- 顧客の口座番号を AI に貼らずに、確認手順だけを相談する方法を教えてください。