経理担当を狙う「ビジネスメール詐欺(BEC)」とは?
振込先変更メールの見抜き方と対策
狙われるのは社長でもシステム担当でもなく「お金を動かせる経理」。AIで文面は見抜けない時代に
ビジネスメール詐欺とは、業務メールのやり取りを盗み見たうえで、取引先や経営者になりすましたメールを送り、偽の口座へ送金させる詐欺です。IPA(情報処理推進機構)が毎年発表する「情報セキュリティ10大脅威 2026」の組織編でも10位に入っており、2018年から9年連続の選出。一過性の流行ではなく、ずっと狙われ続けている「定番」の脅威です。
代表的な手口は次の5つに分類されています。
- ① 取引先との請求書の偽装: 実際の取引のやり取りに割り込み、本物そっくりの請求書で「振込先が変わった」と偽の口座を案内する。経理が最も遭遇しやすい型
- ② 経営者へのなりすまし: 社長や役員を名乗り、「極秘の買収案件だ。至急この口座へ」などと担当者に直接送金を指示する
- ③ 乗っ取ったメールアカウントの悪用: 本物のメールアドレスそのものを乗っ取って請求を送るため、アドレスを確認しても見抜けない
- ④ 社外の権威ある第三者へのなりすまし: 弁護士や会計士などを名乗って「手続きに必要」と送金や情報提供を求める
- ⑤ 詐欺の準備行為としての情報詐取: すぐにはお金を要求せず、まず担当者名・取引内容・決裁フローなどを聞き出し、後日の詐欺に使う
BECの標的が経理担当者に集中するのには、明確な理由があります。
- 送金の実行権限を持っている: システムに侵入しなくても、経理を1人だませば送金が完了する
- 請求書・振込依頼を日常的に受け取る: 「支払いの連絡」が来ること自体に違和感がなく、業務フローに紛れ込みやすい
- 月末・支払日前は忙しい: 処理を急ぐタイミングを狙えば、確認を省略させやすい
被害は決して小さくありません。国内では、大手航空会社が偽の請求書メールにだまされ約3.8億円を送金してしまった事例が2017年に公表されています。また、冒頭で触れたとおり、2026年7月にはメール基盤の脆弱性悪用による125万件超のメールアドレス漏えいや委託先経由の不正アクセスが報じられました。漏えいしたアドレスや取引情報は、なりすましメールの「宛先リスト」や「文面の材料」になります。自社が漏えいさせていなくても、取引先やサービスの委託先から漏れれば標的になり得る——これが今のBECの怖さです(IPAの10大脅威2026でも「サプライチェーンや委託先を狙った攻撃」は2位に入っています)。
まず、BECメールによく見られる危険サインです。1つでも当てはまったら、送金処理を止めて確認に回してください。
- 「至急」「本日中に」と送金を急かす(確認する時間を与えないのが狙い)
- 「この件は社内には内密に」と口止めする(相談されると詐欺がバレるため)
- 送信元ドメインが本物と1文字違い(例: 「-」の有無、綴りの入れ替え、.co.jpと.comの違い)
- いつもと違う口座への変更依頼(特に海外口座・会社名と関係ない個人名義の口座)
- 表示上の差出人と返信先(Reply-To)のアドレスが違う
ただし、手口③のようにアドレスが本物のケースもあるため、「見抜く」ことだけに頼るのは危険です。効くのは、個人の注意力ではなく業務フローで止めることです。
- 振込先の変更依頼は、メール以外の経路で本人確認する: 事前に登録してある電話番号へこちらから電話する。メールに書かれた電話番号は偽物の可能性があるので使わない
- 申請者と承認者を分ける: 新規口座・口座変更・高額送金は、必ず別の人の承認を挟む。1人で完結させない
- 取引先マスタの口座変更に証憑(しょうひょう)を必須にする: 口座変更の依頼書など書面を受け取り、変更履歴を残す
- メールアカウントに多要素認証を設定する: 乗っ取り(手口③)の入口をふさぐ。身に覚えのない転送設定がないかも定期的に点検する
- 「急ぎ・内密は典型サイン」を社内で共有する: 対策は経理1人で抱えず、経営者・営業も含めて周知する。だまされかけた事例こそ共有する
万一送金してしまった場合は、時間との勝負です。相手の口座からお金が引き出される前に、次の順番で動きます。
- ① 振込先の銀行と自社の銀行に連絡する: 「組戻し(くみもどし。振込の取消依頼)」と口座の凍結を相談する。海外送金の場合は特に一刻を争う
- ② 警察に相談・通報する: 最寄りの警察署またはサイバー犯罪相談窓口へ。急がない相談は警察相談専用電話「#9110」も使える
- ③ 社内と取引先に連絡する: なりすまされた取引先にも事実を伝える。自社のメールが乗っ取られていた場合は、パスワード変更・転送設定の削除など対処する
- ④ 証拠を保全する: 詐欺メール本体(ヘッダー情報含む)・振込記録・やり取りの経緯を消さずに保管する。警察への届出や後述の経理処理の根拠になる
そして経理としては、だまし取られたお金の処理という問題が残ります。
- 法人の場合: 詐欺による損失は、一般に回収の見込みがないことが明らかになった事業年度に損失(雑損失など)として損金算入を検討します。ただし、回収可能性や損失が確定した時期の判断は個別性が強いため、税理士への相談が前提です
- 個人の場合の注意点: 所得税の雑損控除は「災害・盗難・横領」が対象で、詐欺や恐喝による損失は対象外とされています。「詐欺被害だから控除できるはず」と思い込まないよう注意してください
- 本来の支払先への支払義務は残る: 偽口座に振り込んでも、本物の取引先への買掛金が消えるわけではありません。二重払いの資金繰りまで含めて影響を整理する必要があります
→ 請求書偽装・なりすましなど手口は5類型
→ 中小企業ほど「1人で送金できる」が弱点
→ 口座変更は電話確認・承認は2人体制
→ 銀行へ組戻し依頼、経理処理は税理士に相談
AIの進化で「あやしい日本語」は消え、漏えいしたメール情報でなりすましの精度も上がっています。それでも、「振込先の変更は、メール以外の経路で確認してから」というルールを1つ守るだけで、BECの大半は防げます。高価なセキュリティ製品より先に、まず支払フローにワンクッションを入れるところから始めてください。
経理まわりの業務効率化には、当サイトの無料ツール集もあわせてどうぞ。
「うちの支払フローで大丈夫か見てほしい」「経理体制を1人に依存しない形にしたい」——そんなお悩みのご相談も承っています。税理士事務所での実務経験をもとに、無理のない経理体制づくりをご提案します。
ココナラの出品サービスもありますので、そちらもご活用ください。
お金の悩みやそれにまつわる疑問や相談お受けします 説得力や信頼性が高まる知識をあなたに。
