ビジネスメール詐欺とは｜30秒で答える
ビジネスメール詐欺（BEC：Business E-mail Compromise）は、取引先や自社の経営者などになりすました偽のメールで従業員を騙し、攻撃者の口座へ送金させる詐欺です。IPA（情報処理推進機構）は、騙す相手によって手口を大きく2つのタイプに分けて紹介しています（出典：IPA ビジネスメール詐欺（BEC）対策特設ページ）。
| タイプ | なりすます相手 | 典型的な流れ |
|---|---|---|
| 取引先との請求書の偽装 | 取引先の担当者 | 実際の取引のやり取りに合わせて、振込先を差し替えた偽の請求書や口座変更の連絡を送り、支払い担当者に送金させる |
| 経営者等へのなりすまし | 自社の経営者・役員 | 「内密の案件」などと装って従業員に直接送金を指示する。財務・経理の担当者が狙われやすい |
この脅威は一時的な流行ではありません。IPAが毎年発表する「情報セキュリティ10大脅威 2026」の組織編でも、ビジネスメール詐欺は10位に入っています。2018年に初めて選ばれてから9年連続の選出で、ランサムウェアのような派手さはないものの、毎年途切れずに選ばれ続けている手口です。
最初に結論を書きます。ビジネスメール詐欺は人の判断を騙す手口なので、対策の中心はメールの真偽を見抜く技術ではなく、「怪しくても怪しくなくても、お金が動く変更は決まった手順で確認する」という業務ルールです。具体的には「振込先の変更はメール以外の経路で確認する」「支払いは2人で承認する」の2つを決めれば、手口の大半はその場で止まります。
手口の流れ｜取引の途中に割り込むから、文面では見破れない
ビジネスメール詐欺が怖いのは、まったく知らない相手からの不審なメールではなく、実際に進んでいる取引のやり取りに合わせて届くことです。IPAの解説によると、攻撃者は事前にメールのやり取りを盗み見て、取引の内容や担当者の名前を把握したうえで割り込んでくることがあります。だから文面は自然で、タイミングも合っています。
警察庁も「ビジネスメール詐欺に注意！」として注意を呼びかけています。攻撃者が指定する振込先は海外の銀行口座であることが多く、一度海外に送金されると、回収は非常に困難とされています（出典：警察庁「ビジネスメール詐欺に注意！」）。つまり、振り込む前に止めることがほぼすべてです。
見破れない前提に立つと、やることが変わる
「怪しいメールに気をつけよう」という注意喚起は、ビジネスメール詐欺にはあまり効きません。本物のやり取りに割り込まれた場合、受け取った担当者の目には本物に見えるからです。差出人のアドレスも、正規のものと1文字だけ違うなど、似せて作られることがあります。
そこで発想を変えます。メールを疑うのではなく、「お金の流れが変わる場面」をすべて確認の対象にするのです。振込先の変更、新しい口座への初回送金、急ぎ・内密といった通常と違う依頼。これらが来たら、メールが本物に見えるかどうかに関係なく、決まった手順で確認します。これなら判断に迷いがなく、新人の担当者でも同じように動けます。
社内ルールは3つ｜別経路で確認・2人で承認・急ぎほど止まる
支払いの業務フローに、次の3つのルールを組み込みます。いずれも費用はかからず、決めたその日から使えます。
| ルール | 誰が | やること | 目安 |
|---|---|---|---|
| 1. 振込先変更は別経路で確認 | 経理・支払い担当 | 届いたメールに返信せず、名刺や自社の台帳にある電話番号・メールアドレスで取引先に直接確かめる | 1件5分 |
| 2. 支払いは2人で承認 | 担当者＋経営者や上長 | 一定額以上の支払いと、すべての振込先変更は、1人で完結させず2人目が確認する | 1件2〜3分 |
| 3. 急ぎ・内密ほど一度止まる | 全員 | 「至急」「他言無用」の送金依頼は、依頼者本人に電話や対面で直接確認してよい、と社内で決めておく | ルール化は10分 |
1. 別経路での確認は「返信しない」が肝心
警察庁も、送金に関する連絡はメール以外の方法で確認し、その際の連絡先は名刺や自分のアドレス帳にあるものを使うよう案内しています。届いたメールへの返信や、メールに書かれた電話番号への連絡では、攻撃者に確認することになってしまいます。確認が取れるまで振り込まない、を徹底します。
2. 2人承認は「社長も例外にしない」
経営者へのなりすまし型は、経営者の指示なら従うしかない、という上下関係を突いてきます。だからこそ、経営者からの送金指示も同じ手順を通すと決めておくことが防御になります。「社長からの依頼でも、送金前に本人へ直接確認する。それを失礼と受け取らない」と経営者自身が宣言しておくと、担当者は迷わず確認できます。
3. 請求書の受け渡しをメール添付だけに頼らない
請求書の偽装型は、メール添付のPDFを差し替える形で割り込んできます。主要な取引先とは、請求書を決まった共有フォルダや請求書サービスで受け渡す、振込先は契約時に書面で取り交わしたものから変えない（変える場合は書面で）、といった取り決めをしておくと、メール1通で振込先が変わる余地そのものを減らせます。
下準備を断つ｜メールアカウントを乗っ取られない
取引のやり取りを盗み見るために、攻撃者はまずどちらかの会社のメールアカウントに入り込もうとします。つまり、自社のメールアカウントの守りを固めることは、自社だけでなく取引先を守ることでもあります。IPAも対策として、メールアカウントに推測されにくいパスワードを設定して使い回しをしないこと、多要素認証やアクセス制限の導入を検討することを挙げています。
- パスワードの使い回しをやめる：メールのパスワードが他のサービスと同じなら、他所の漏えいが自社の入口になります。移行の段取りは会社のパスワード管理の現実的な方法にまとめています
- メールに多要素認証を設定する：パスワードが漏れても乗っ取りを止められます。設定の優先順位は多要素認証とは？会社で最初に設定する5つをご覧ください
- 転送設定を点検する：乗っ取られたアカウントには、やり取りを外部へ自動転送する設定が仕込まれることがあります。身に覚えのない転送ルールがないか、メール設定を月1回確認します
- 不審なメールは社内で共有する：IPAは、普段と異なるメールに気づいたら社内で相談・連絡して情報を共有することを対策に挙げています。1人に届いた偽メールは、他の社員にも届いている可能性があります
メールアカウントが狙われる入口としてはフィッシングメールも代表的です。見分け方と開いてしまった後の対処は、この連載の別の回で取り上げています。また、そもそも情報漏えいがどんな原因で起きているかの全体像は情報漏えいの原因ランキングで整理しています。
振り込んでしまったら｜最初の1時間が回収の分かれ目
もし送金後に詐欺と気づいたら、時間との勝負です。警察庁の案内をもとにすると、やることは次の順序になります。
- 1. 送金元の銀行に連絡する：速やかに送金のキャンセルや組戻しの手続きを依頼します。海外口座への送金は回収が非常に困難とされているため、気づいた時点ですぐ動きます
- 2. メールを消さずに保存する：攻撃者から届いたメールとそのヘッダー情報は、調査と相談に使う証拠です。取引先にも、同様のメールの有無の調査と保存を依頼します
- 3. 経緯を時系列で記録する：いつ、誰が、どのメールを受けて、いくら送金したか。警察庁は、内部に関係者がいる可能性も考え、調査は最少限の関係者で行うよう案内しています
- 4. 原因を調べる：パソコンのウイルスチェック、メールアカウントのパスワード変更、不正アクセスや身に覚えのない転送設定の有無を確認します
- 5. 警察に相談する：メールなどの資料を持参して最寄りの警察署に相談します。事前に電話で日時と持参資料を調整しておくと進めやすいとされています
この手順を事故が起きてから調べるのでは遅いので、「送金ミスに気づいたらまず銀行、次に証拠の保存」という2行だけでも、経理の手順書に書き足しておくことをおすすめします。所要時間は5分です。
続け方｜ルールは作った日より、半年後に効いているか
振込先変更の確認と2人承認は、最初の数か月は守られても、忙しくなると省略されがちです。月1回の社内点検（この連載のday 2で紹介した基本の6つの点検）に「今月、振込先の変更はあったか。あったなら別経路で確認したか」の1行を足してください。確認の記録が残っていれば、ルールは生きています。
本記事の内容は、2026年10月時点で公表されている資料をもとに編集部が整理したものです。最新の情報は各出典でご確認ください。
メールの入口になる、自社サイトとアカウントの状態を点検する
ビジネスメール詐欺の下準備は、メールアカウントや自社サイトの乗っ取りから始まることがあります。セキュリティ診断は5,000円（税抜）の固定料金で、サイトのURLだけで始められます。点検後の更新・バックアップ・監視は、月額9,800円（税抜）からの保守で引き受けます。
セキュリティ診断の内容を見る →よくある質問
Q. ビジネスメール詐欺とフィッシングメールは何が違うのですか？
フィッシングメールは、偽サイトに誘導してパスワードやカード情報を入力させる手口で、不特定多数に送られることが多いものです。ビジネスメール詐欺は、特定の会社の取引や組織関係になりすまして送金そのものを指示する手口で、実際の取引のやり取りに合わせて届くことがあります。入口としてフィッシングでメールアカウントが乗っ取られ、その情報がビジネスメール詐欺の下準備に使われる、というつながりもあります。
Q. 取引先から振込先変更のメールが来ました。どう確認すればよいですか？
届いたメールには返信せず、名刺や自社の台帳など、以前から知っている連絡先に電話やメールで直接確認してください。メールに書かれた電話番号に掛けると、攻撃者に確認してしまうおそれがあります。確認が取れるまでは振り込まない、と社内で決めておくことが大切です。警察庁も、送金内容はメール以外の方法で確認するよう案内しています。
Q. 振り込んでしまった場合、まずどこに連絡すればよいですか？
最初に送金元の銀行へ連絡し、送金のキャンセルや組戻しの手続きを依頼してください。海外の口座に送金されると回収は非常に困難とされているため、気づいた時点での速さが重要です。あわせて、攻撃者からのメールをヘッダー情報ごと保存し、経緯を時系列で記録したうえで、最寄りの警察署に相談します。
Q. 従業員数人の小さな会社でも、ビジネスメール詐欺の対策は必要ですか？
必要です。この手口は会社の規模ではなく「お金のやり取りがメールで動いているか」を突いてきます。むしろ小さな会社ほど支払いが1人で完結しやすく、確認の仕組みがないまま送金されがちです。振込先変更は別経路で確認する、支払いは2人で承認する、の2つを決めるだけなら費用はかかりません。取引先が狙われた場合に自社宛の偽請求書が届くこともあるため、取引の両側で備える意味があります。