ビジネスメール詐欺の対策｜振込先変更メールを見抜く確認手順

「取引先から振込先の変更メールが届いた」「社長名で至急送金してほしいと連絡が来た」。このときメールの文章が自然でも、すぐに支払ってはいけません。ビジネスメール詐欺（BEC）は、取引先や経営者になりすまして送金や情報提供を促す詐欺です。

結論：振込先の変更や例外的な支払いは保留し、メールに書かれた連絡先を使わず、事前に登録した番号へ電話して確認します。確認と承認を別の担当者が記録してから支払ってください。 もし送金後に気づいたら、まず銀行へ直ちに連絡し、並行して証拠を保存します。

この記事は中小企業の経理担当者、取引先との窓口担当者、経営者向けです。実際の被害では契約、銀行の取扱い、送金先の国や時点で対応が変わります。以下は社内で使う初動手順の土台として、取引銀行と顧問専門家の指示に合わせてください。

ビジネスメール詐欺の手口と危険信号

典型例は、取引先の担当者を装い「請求書の振込先が変わった」と伝えるものと、経営者・役員を装い「秘密の案件なので急いで支払ってほしい」と命じるものです。偽の差出人名、似たドメイン、過去のメールに近い文面が使われる場合があります。実際のメールアカウントが侵害され、正規のやり取りに紛れ込む場合もあります。

IPAは2026年3月、社長等をかたるメールからLINEグループを作らせる手口にも注意を呼びかけました。「メールにリンクがないから安全」「いつもの担当者の名前だから本物」とは判断できません。文章が生成AIで自然に整えられていても、送金の権限が生まれるわけではありません。

差出人の表示名は変更できます。メールアドレスの文字列も似せられます。SPF・DKIM・DMARCなどのメール認証はなりすましを減らす助けになりますが、正規アカウントが乗っ取られた場合や、人が偽の依頼に従う場合を単独で防ぐものではありません。経理の業務手順と技術対策を両方用意します。

振込先変更メールが来たときの確認手順

まず経理担当者は、変更依頼があった支払いを「確認中」にします。メールへ返信しても、相手が本物かどうかは確かめられません。メール本文や添付の請求書に書かれた電話番号ではなく、契約書、取引先マスター、以前から使っている公式窓口など、依頼とは別に登録済みの連絡先へ電話します。担当者が不在なら、代理人の氏名と権限を確認できるまで送金しません。

電話では「口座を変えましたか」とだけ聞かず、対象の請求書番号、変更の発効日、新旧の金融機関・口座名義、依頼者を確認します。これらの情報が一致しても、電話した先が取引先の正規窓口であることが前提です。相手から折り返しがあった場合も、必要ならこちらから登録済みの番号へ掛け直します。

次に、依頼を受けた人とは別の承認者が、請求書、契約、取引先マスター、電話確認の記録を照合します。例外送金は金額に関係なく、通常の承認を飛ばさないようにします。承認前に取引先マスターの口座を上書きすると、後続の支払いにも誤った情報が使われるため、変更履歴と承認者を残します。

「担当者が休暇中」「期限が迫る」といった場合こそ例外処理を明文化します。代替の確認先と承認者を決めておき、確認できなければ支払いを延期する判断者を明確にします。遅延の説明は後でできますが、誤送金の回収は保証されません。委託先との取引管理全般は委託先セキュリティの確認表も参照してください。

送金後に詐欺へ気づいたときの初動

送金後に不審な点が見つかったら、最初に取引銀行へ電話し、送金の停止・組戻し等が可能か相談します。着金後の返金や組戻しには制約があり、回収を保証できません。海外送金ならその旨と送金番号を伝えます。窓口が閉まっている場合は、銀行が案内する緊急連絡先を使います。銀行への連絡と並行して、社内の経理責任者、IT・セキュリティ担当、法務担当へ知らせます。

依頼メールは削除せず、元のメール、ヘッダー、添付ファイル、チャット履歴、請求書、承認履歴、振込控え、電話確認の記録を保全します。スクリーンショットだけでなく、可能なら原本を保存します。メールアカウントの侵害が疑われる場合は、IT担当が関連アカウントのセッション・転送設定・ログを調べ、必要に応じて資格情報の変更やアクセス停止を行います。調査前に端末やログをむやみに消さないでください。

正規の取引先にも、以前から登録した窓口を使って事実を確認します。先方のメールアカウントが侵害されている可能性があれば、疑わしいメールへの返信や添付ファイルの再送は避けます。影響の範囲、個人情報の有無、取引先への通知、警察への相談は、確認した事実に沿って社内の責任者と法務担当が判断します。警察相談の前でも銀行への連絡を待つ必要はありません。

社内で今日決めるべきこと

「振込先変更はメールだけで承認しない」を規程に書くだけで終わらせず、①確認先の登録簿、②変更を保留する権限、③二人目の承認者、④銀行と社内の緊急連絡先、⑤証拠の保管場所を決めます。毎月の支払日より前に、架空の変更依頼で短い訓練を行い、電話がつながらない場合に本当に止められるか確認します。訓練の結果から代替連絡先を更新します。

基礎的な対策の優先順は企業のセキュリティ対策30日計画で確認できます。BECはメール設定だけで解決する問題ではなく、支払業務に「確認してから進める」関門を作ることが重要です。

出典・確認日：2026年10月30日
IPA：情報セキュリティ10大脅威2026
IPA：ビジネスメール詐欺の対策資料
IPA：社長等をかたる詐欺メールに注意
IPA：メールを悪用した攻撃への対策

AIを業務で安全に使うために

AIでメール案を作成する場合も、支払いや取引先情報の変更には人の確認が必要です。WithAIでは、AIを実務に取り入れる学び方を確認できます。セキュリティ事故の個別対応は取引銀行と専門家に相談してください。