ビジネスメール詐欺（BEC）の手口と防御策

「社長から『至急、この口座に振り込んでおいて』ってメールが来たんだけど、いつもの口座と違う気がする…」——経理担当者のこんな小さな違和感が、会社を救うことがあります。逆に、その違和感を見過ごしてしまった結果、数百万円、ときには数千万円が一瞬で犯人の口座へ消えてしまう。それが「ビジネスメール詐欺（BEC）」です。

BEC（Business Email Compromise）は、ウイルスをばらまく派手なサイバー攻撃とは違い、「人をだます」ことに特化した非常に巧妙な手口です。中小企業でも被害が相次いでいて、決して「うちみたいな小さな会社は関係ない」とは言えません。今回は、その典型的な手口と、明日から実践できる防御策をわかりやすく解説します。

ビジネスメール詐欺（BEC）とは？

BECとは、取引先や経営者になりすましたメールを社員に送りつけ、攻撃者の口座へお金を振り込ませる詐欺のことです。マルウェアを使わず、あくまで「メールの文面」と「人の心理」だけで成立するのが特徴です。

犯人は事前に会社のことを徹底的に調べています。

• 誰が経理・送金の権限を持っているか
• どの取引先と、いつ頃、いくらの取引があるか
• 社長や役員がいつ出張で不在になるか

こうした情報をSNSや会社サイト、過去に盗み見たメールから集め、「いかにも本物らしい」タイミングと文面で仕掛けてきます。だからこそ、受け取った側は疑いにくいのです。

よくある4つの手口

1. 経営者へのなりすまし（CEO詐欺）

社長や役員になりすまし、「極秘の買収案件だから、誰にも言わずこの口座に振り込んでくれ」といった指示を経理担当に送ります。「至急」「内密に」という言葉で、相談する余裕を奪うのが常套手段です。

2. 取引先へのなりすまし（請求書詐欺）

実在する取引先になりすまし、「振込先の銀行口座が変わりました」と連絡してきます。普段やり取りしている請求書とそっくりなので、見抜くのは簡単ではありません。

3. メールアカウントの乗っ取り

社員本人のメールアカウントが盗まれ、そこから取引先へ偽の請求を送るパターンです。本物のアドレスから届くため、受け取った相手はまず疑いません。

4. 弁護士・士業へのなりすまし

「弁護士です。M&Aの最終段階で、本日中の送金が必要です」と、専門家を装って権威とプレッシャーをかけてきます。

だまされないための見分け方

派手な攻撃ではないぶん、防ぐにはチェックの習慣が何より大切です。

• 送信元アドレスを1文字ずつ確認する

本物に似せた偽ドメインがよく使われます。例えば正規が yamada-trading.co.jp なのに、yamada-tradlng.co.jp（iが小文字のL）、yamada-trading.cc など、ぱっと見では気づきにくい違いを作ってきます。

• 「振込先変更」は必ず別ルートで確認する

口座変更の連絡が来たら、メールに返信するのではなく、名刺に書かれた電話番号など以前から知っている連絡先にかけ直して確認します。メール内に書かれた電話番号は犯人のものかもしれません。

• 「至急」「内密に」「いつもと違う口座」に警戒する

この3つが揃ったら、まず詐欺を疑ってよいレベルです。

• 不自然な日本語や言い回しに注意する

「お世話になっております」が妙にぎこちない、句読点の使い方が普段と違う、といった小さな違和感も見逃さないでください。

会社として備えるべき防御策

個人の注意力だけに頼るのは危険です。会社の「仕組み」として防ぐことが重要です。

• 送金前の「ダブルチェック」ルールを作る

一定金額以上の送金や、口座変更を伴う送金は、必ず2人以上で承認する。たとえ社長からの指示でも、口頭や電話での再確認を必須にします。

• メールに多要素認証（MFA）を導入する

アカウント乗っ取りを防ぐ最も効果的な対策です。パスワードが盗まれても、スマホへの確認がなければログインできないようにします。

• 「社長の指示でも確認してよい」文化を作る

経営者自身が「私からの送金指示でも、必ず電話で確認してくれ」と社員に伝えておくこと。これだけで被害は大きく減ります。

もし振り込んでしまったら

「やってしまった…」と気づいたら、スピードが勝負です。

1. すぐに振込先の銀行と自社の銀行に連絡する——組戻し（くみもどし）や口座凍結が間に合えば、お金が戻る可能性があります。 2. 警察（最寄りの警察署・サイバー犯罪相談窓口）に相談する 3. 社内で情報共有し、被害の拡大を止める——他の社員にも同様のメールが来ていないか確認します。

一刻も早い行動が、被害を最小限に抑える鍵です。

---

「このメール、本物の取引先からかな？」「口座変更の連絡が来たけど、確認していいか不安…」——そんな時は、一人で判断せず、まずBULLCOM SecurityのLINE無料相談にお気軽にご連絡ください。届いたメールのスクリーンショットを送っていただければ、詐欺の可能性があるかどうかを一緒に確認します。「ちょっと変だな」と感じた時点でご相談いただくのが、会社の大切なお金を守る一番の近道です。