ビジネスメール詐欺とは、取引先や経営者になりすました偽のメールで従業員をだまし、攻撃者の用意した口座へ送金させる詐欺です（IPAの定義）。英語の頭文字からBECとも呼ばれます。
今日やることは、経理の担当者と10分話して、次の質問に答えることです。
「取引先から『口座が変わりました』とメールが来たら、誰が、どの番号に電話して、誰が振込先を書き換えますか」
答えがその人の頭の中にしかないなら、紙1枚の手順にします。製品を入れる前にできて、費用もかかりません。
どんな場面で狙われる？
IPAは代表的な手口を2つに分けています。
| 型 |
何が起きるか |
経理に届く形 |
| 取引先の請求書の偽装 |
取引先とのやりとりを盗み見て、途中からなりすます |
「送金先の口座が変わった」という連絡 |
| 経営者などへのなりすまし |
社長や役員を名乗って従業員へ指示する |
「至急この口座へ振り込んでほしい」という指示 |
IPAの解説（2026年8月）によると、IPAの相談窓口に届く相談は、海外の取引先になりすました請求書の偽装が多くを占めます。ビジネスメール詐欺は、情報セキュリティ10大脅威 2026の組織編でも10位で、2018年の初選出から9年連続で入っています。
2026年は、社長をかたる手口が目立ちました。警察庁の2026年上半期の資料は、これを「ニセ社長詐欺」と呼んでいます。1月から6月までの認知件数は127件、被害額は約38億8,000万円で、既遂1件あたりでは約3,100万円でした。
IPAの注意喚起（2026年3月）によれば、IPAの窓口には2025年12月16日から2026年3月10日までに106件の相談がありました。表示名を社長名にし、フリーメールのアドレスから、LINEのグループを作るよう指示してくる例が多く確認されています。
経理の目視だけでは、なぜ止まらない？
偽のメールを見抜くのが難しいからです。
- 取引先の正規のアカウントが乗っ取られ、そこから送られる場合がある（IPAの2026年8月の解説）
- これまでのやりとりの途中に割り込むため、話の流れが自然
- 表示名だけ本物に見せかけた例も多い（IPAのFAQ）
- AIの発達で文章が自然になり、見抜きにくいものが増えている（警察庁の資料はフィッシングについて説明）
IPAの対策のページも、システムやセキュリティソフトによる機械的な防御、偽メールの排除が難しいと書いています。
「文面がおかしければ気づく」を前提にすると、担当者の注意力に頼ることになります。そこで前提を変えます。本物らしく見えても、見えなくても、口座の変更は同じ手順を通すという形です。
IPAのFAQは、違和感をメールで解消しようとすると、攻撃者が嘘で取り繕ってくることがあるとも注意しています。やりとりが見られているかもしれないメールの中では、確認は完結しません。
振込先の変更を止める手順はどう作る？
IPAの対策は、急な振込先や決済手段の変更は取引先へメール以外の方法で確かめること、チェック体制を整えること、です。これを経理の手順に落とすと、次の形になります。担当者や権限の分け方は、会社の規模に合わせて変えてください。
- 受ける：変更の連絡を受けたら、その支払いを保留にする。メールには返信しない
- 確かめる：社内に控えた連絡先へ電話し、相手から口座の内容を聞く
- 記録する：確認した日時、相手、番号、口座の内容を残す
- 書き換える：確認した人とは別の人が、振込先の台帳を更新する
- 承認する：変更後の初回の振込は、担当者以外も内容を見てから実行する
電話で確かめるときに決めておくこと
ここを曖昧にすると、手順があっても抜け道ができます。
| 決めること |
内容 |
| どの番号にかけるか |
契約書や取引先台帳など、前から持っている番号。メールの署名欄の番号は使わない |
| 誰と話すか |
普段の担当者。不在なら代表電話から経理の担当へ |
| 何を確かめるか |
銀行名、支店、口座番号、名義、変更の理由、いつの支払いからか |
| 例外をどうするか |
「至急」「社長の指示」でも省かない。例外を決められる人を1人に絞る |
署名欄を使わない理由は、IPAのFAQにあるとおり、攻撃者が偽装している可能性があるからです。
口座の内容はこちらから読み上げず、相手に言ってもらいます。「この番号で合っていますか」と聞くと、相手がよく確かめずに答えてしまうかもしれないからです。
電話も万全とはいえません。IPAのFAQは、合成音声で声を似せる手口にも触れています。相手からかかってきた電話で確認を済ませず、こちらからかけ直すことを手順に入れます。
製造業で先に決めておきたいこと
たとえば、海外の材料メーカーから仕入れている会社の場合で考えてみます。
海外の取引先には、時差があって電話をかけにくいことがあります。支払い期日が迫っていると、確認を省きたくなります。IPAが、相談の多くは海外の取引先になりすます型だとしているのは、こうした取引の注意点でもあります。
そこで、平常時のうちに取引先と決めておきます。
- 口座を変えるときの連絡方法（メール以外の経路を1つ）
- 経理の担当者の電話番号と、英語で話せる窓口
- 確認が取れるまで支払いが遅れても構わないこと
最後の1つは、社長や営業の担当者から取引先へ伝えておくと、経理が板挟みになりません。海外拠点がある会社は、拠点の経理にも同じ手順を渡します。IPAは海外拠点の啓発にも使える字幕付きの映像を公開しています。
社長の名前で指示が来たら？
社長が相手でも、確かめることは失礼ではないと、社内で先に合意しておくことです。
IPAの注意喚起が示す対処は、メールに返信しないで電話などで確認し、不審メールの報告手順と、振込前の二重チェックを用意することです。警察庁の資料は、送金のルールの再確認と、SNSのグループの利用を指示された場合には特に注意することを挙げています。
社長から全社員へ、次のように伝えておくと、現場が確かめやすくなります。
「私がLINEのグループ作成や急な振込をメールで指示することはありません。そのようなメールが来たら、私に電話で確かめてください」
もしグループに誘導されてしまった場合、警察庁の資料は、SNSの通報機能があれば通報し、速やかに退出するよう案内しています。
送金してしまったら、最初に何をする？
銀行への連絡です。IPAの案内は、送金に使った銀行へ、早期に取り消しや組み戻しの手続きを依頼するよう書いています。平日の夜や週末でも連絡できる銀行の窓口を、事前に控えておきます。
銀行に連絡した後の動き
- 警察へ相談する。海外の口座なら、現地の警察への相談も必要になる
- 届いたメールとログを保全し、経緯を時系列でまとめる
- 取引先へメール以外の経路で知らせ、偽メールの保全と調査を頼む
- 関係者のPCのウイルスチェックと、メールのパスワード変更を行う
- 不正なログインや転送設定の痕跡を調べる
IPAは、すでに資金が引き出されて回収できなかった事例も多いと説明しています。また、IPAのFAQによれば、振り込んだ金額は国内のサイバー保険の補償対象にならないことが多いとされています。保険を当てにする前に、契約の内容を確かめてください。
製品は何を補うのか？
手順で止めるのが軸で、製品はその手前と周辺を補います。
- メールの盗み見を防ぐ：IPAは複雑なパスワードと、メールの多要素認証の検討を挙げています
- 届く偽メールを減らす：メールセキュリティ製品の比較で、検知の方式と運用の負担を比べられます
- 手口を知ってもらう：IPAも、まず社員に手口を知ってもらう必要があるとしています。セキュリティ教育サービスの比較が手がかりになります。訓練なら標的型メール訓練サービスの比較です
自社名がかたられるのを減らすには、送信側の設定も関わります。SPF・DKIM・DMARCの違いと揃える順番と、DKIMの電子署名の仕組みを見てください。ただ、どれも取引先の正規アカウントが乗っ取られた場合までは止めきれません。
メールの守りの全体はメールのセキュリティ対策にまとめています。手順の紙を1枚作ったら、次の支払いの締め日までに経理で一度試してみてください。実際に取引先へ電話をかけてみると、番号が古いなど、台帳の抜けが見つかることがあります。
