社長のメールが乗っ取られたら？振込詐欺で会社資金が流出するリスク

「社長から急ぎの振込指示が届いた」「取引先から振込先変更の連絡があった」――。

いつもやり取りしている相手からのメールであれば、疑わずに対応してしまうこともあるかもしれません。しかし、そのメールが本物とは限りません。

企業の経営者や取引先になりすまし、偽の口座へ送金させる「ビジネスメール詐欺（BEC）」が発生しています。メールの内容や相手の名前が本物らしく見えても、会社の資金を狙う詐欺である可能性があります。

今回は、社長や取引先になりすましたメールによる資金流出の仕組みと、中小企業が確認しておきたい対策を解説します。

1．社長や取引先になりすます「ビジネスメール詐欺」とは？

ビジネスメール詐欺とは、経営者や取引先などになりすましたメールを使い、従業員に不正な送金をさせる詐欺の手口です。

代表的な手口には、次のようなものがあります。

• 社長になりすまし、秘密の案件や緊急の支払いを理由に送金を指示する
• 取引先になりすまし、請求書の振込先口座が変更になったと連絡する
• 実際のメールのやり取りを盗み見て、取引内容に合わせた偽の指示を送る
• 社長を名乗り、SNSグループの作成や経理担当者の参加を求める

攻撃者は、実在する会社名や担当者名、取引内容などを利用して、受信者が疑いにくい状況を作ろうとします。

そのため、文章が自然であることや、知っている相手の名前が表示されていることだけでは、本物のメールだと判断できません。

2．なぜ、会社の資金が流出してしまうのか？

ビジネスメール詐欺では、メールの内容だけでなく、受信者の心理や会社の業務手順が悪用されます。

ケース① 社長からの緊急指示に見せかける

「至急対応してほしい」「詳細は後で説明する」「この件は他の人に話さないでほしい」などと伝え、経理担当者に通常とは異なる送金をさせようとします。

社長の指示に応えようとする気持ちや、対応を急ぐ心理が利用される可能性があります。

ケース② 取引先から振込先変更の連絡が届く

攻撃者が取引先とのメールのやり取りを把握している場合、請求や支払いのタイミングに合わせて、振込先変更を依頼することがあります。

通常の取引に見えるため、確認を省略すると、正規の取引先ではなく攻撃者が指定した口座へ送金してしまうおそれがあります。

ケース③ メールアカウントが不正利用される

メールアカウントへの不正アクセスなどによって、過去のやり取りや取引情報を盗み見られる場合があります。攻撃者が本物のやり取りを把握していれば、偽の指示がより自然に見えてしまう可能性があります。

つまり、注意深くメールを読むだけでは防ぎきれないケースもあります。送金の手順そのものに、確認の仕組みを設けることが重要です。

3．会社の資金を守るために確認したい5つの対策

① 振込先の変更は、メール以外の方法で確認する

振込先口座の変更や、通常と異なる送金依頼が届いた場合は、メールへの返信だけで確認を済ませないことが大切です。

以前から把握している電話番号など、メールとは別の連絡手段を使い、取引先の担当者や社長本人に確認しましょう。メールに記載された電話番号が偽装されている可能性もあるため、既存の連絡先を利用することがポイントです。

② 送金前のダブルチェックを仕組みにする

振込金額が大きい場合や、急な送金・口座変更がある場合には、担当者一人の判断だけで送金を完了させないルールを整えます。

例えば、送金担当者とは別の承認者が、依頼内容・振込先・金額を確認する仕組みです。社長からの指示であっても、例外なく確認する運用が重要です。

③ 不審なメールを社内で共有する

不審なメールを受け取ったときに、担当者だけで判断しないことも大切です。社内の報告先や相談手順をあらかじめ決め、似たメールが届いた場合に速やかに情報共有できるようにしておきましょう。

④ メールアカウントの安全性を見直す

多要素認証の利用、推測されにくいパスワードの設定、パスワードの使い回し防止、OSやソフトウェアの更新など、基本的な対策を確認します。

また、メールアカウントの不正利用が疑われる場合には、外部への自動転送設定や不審なメール振り分け設定が追加されていないかも確認する必要があります。

⑤ 緊急時の連絡先と対応手順を決めておく

不正送金やメールアカウントの乗っ取りが疑われる場合、誰に連絡し、どのシステムを確認し、どの証拠を保存するのか。平時から対応手順を整理しておくと、初動の遅れを防ぎやすくなります。

4．もし不正送金してしまったら？

不正な口座へ送金した可能性がある場合は、資金の回収が難しくなるおそれがあるため、速やかに対応することが重要です。

1. 銀行へ連絡する：送金元の銀行に連絡し、送金の取消しや組戻しなど、可能な手続きについて相談します。
2. 警察へ相談する：詐欺被害の疑いがあることを伝え、対応について相談します。
3. メールなどの証拠を保存する：詐欺メール、送信元情報、請求書、振込記録、関係者とのやり取りを保存します。
4. メールアカウントなどを調査する：不正アクセスの有無、パスワード、外部転送設定などを確認し、必要に応じて専門家に調査を依頼します。
5. 関係者への影響を確認する：取引先や社内の他の担当者にも不審なメールが届いていないか確認します。

送金した資金が必ず回収できるとは限りません。被害に気づいたら、自己判断で時間を置かず、銀行や警察などへ速やかに相談してください。

5．サイバー保険で補償されるのか？

サイバー保険を検討している企業にとって、気になるのが「詐欺による送金被害も補償されるのか」という点です。

ただし、サイバー保険であれば、ビジネスメール詐欺による送金被害が必ず補償されるというわけではありません。

契約内容や特約、事故の状況によって補償の可否や範囲が異なります。不正アクセスに伴う事故対応費用などと、従業員が偽の指示を信じて送金したことによる損失は、同じ扱いとは限りません。

確認したいのは、次のような点です。

• 詐欺による不正送金・資金損失が補償対象に含まれるか
• 補償対象となる事故や支払条件は何か
• 免責金額や支払限度額はどのように設定されているか
• 事故発生時の通知期限や、保険会社の事前承認が必要な費用はあるか

補償の有無は、保険商品の名称だけで判断せず、約款や特約、個別の契約条件を確認することが大切です。

6．まとめ――送金前の確認を、会社のルールに

社長や取引先になりすましたメールによる詐欺は、会社の規模にかかわらず注意が必要なリスクです。

メールの見た目だけで真偽を判断せず、振込先変更や緊急の送金依頼は別の連絡手段で確認する。送金前のダブルチェックを徹底する。不審なメールを社内で共有する。こうした仕組みが、被害の防止につながります。

そして、万が一に備えて、発生時の連絡先や対応手順、サイバー保険の補償範囲も確認しておきましょう。

大切なのは、担当者の注意力だけに頼らず、誰が対応しても確認できる仕組みを会社として整えておくことです。

サイバーリスクへの備えについて、引き続き情報を発信していきます。

※本記事は一般的な情報提供を目的としています。個別の事故対応や保険金の支払可否については、関係機関や保険会社にご確認ください。