協力会社のメール乗っ取りを防ぐ｜建設会社の被害拡大防止策と実務

「いつもお世話になっております。今月の請求書をお送りします。なお、振込先が変更になりました」

普段から取引している協力会社のメールアドレスから、こんな連絡が届いたら、どう対応するでしょうか。

担当者の名前も正しく、過去のやり取りへの返信として届いていたら、疑わずに処理してしまうかもしれません。

しかし、協力会社のメールアカウントが第三者に不正利用されていた場合、正規のアドレスから偽の請求書や不審なリンクが送られる可能性があります。

さらに、メールボックス内の図面、見積書、工程表、取引先情報などが閲覧されれば、被害が別の会社へ広がるおそれもあります。

これは、特定の建設会社で実際に発生した事故を紹介するものではありません。メールアカウントの不正利用を想定した実務上のリスク解説です。

この記事では、協力会社のメール乗っ取りが疑われたときに、元請・下請・協力会社がそれぞれ確認したい対策を整理します。

1．協力会社のメール乗っ取りとは

メール乗っ取りとは、第三者がメールアカウントへ不正にアクセスし、本来の利用者に代わってメールを閲覧したり、送信したりする状態を指します。

原因としては、パスワードの漏えい、フィッシングによる認証情報の取得、不適切な認証設定などが考えられます。

ただし、見覚えのないメールが届いたからといって、必ずアカウントが乗っ取られているとは限りません。

送信元アドレスを偽装する手口もあるため、実際にアカウントへ侵入されたのか、別のなりすまし手口なのかは調査が必要です。

いずれの場合も、取引先を名乗るメールの内容だけで重要な判断をしないことが基本です。

2．なぜ被害が元請や別の協力会社へ広がるのか

建設業では、元請、下請、専門工事会社、資材会社など、多くの関係者がメールで連絡を取っています。

協力会社のメールアカウントが不正利用されると、その会社の取引先に対して、本人になりすました連絡が送られる可能性があります。

例えば、次のような被害が考えられます。

一社の問題で終わらず、複数の取引先へ影響が広がる可能性があることが、このリスクの特徴です。

3．正規アドレスから届くメールにも注意

不審メールというと、見知らぬアドレスや不自然な日本語を想像するかもしれません。

しかし、実際に取引先のアカウントが不正利用されている場合、普段使っている正規のアドレスからメールが送られることがあります。

また、過去のメールを閲覧された場合には、以前のやり取りを利用した自然な文章が作られる可能性もあります。

そのため、次のような理由だけで安全だと判断しないことが重要です。

• いつも使っているメールアドレスだから
• 担当者の名前が正しいから
• 以前のメールへの返信だから
• 文章が丁寧で自然だから
• 添付ファイル名が通常の請求書と似ているから

特に、振込先変更、認証情報の入力、急ぎの送金など、普段と異なる依頼があった場合は、別の連絡手段で確認してください。

4．偽請求書と振込先変更の確認手順

建設会社では、協力会社や資材会社への支払いが毎月発生します。

そのため、請求書の送付や振込先変更を装う連絡は、業務上の重要な確認対象です。

例えば、いつもの協力会社から「口座が変更になりました」とメールが届いた場合でも、そのメールに返信するだけでは十分な本人確認にならないことがあります。

相手のメールアカウントが不正利用されていれば、返信も第三者に届く可能性があるためです。

確認の基本手順

1. 変更前の取引記録と今回の請求内容を照合する
2. 事前に登録してある電話番号などで取引先へ確認する
3. 確認した担当者・日時・内容を記録する
4. 社内の承認手順を経て支払処理を行う

振込先変更を一人の担当者だけで完結させない仕組みも、被害防止に役立ちます。

5．図面・見積書・工程表が狙われるリスク

建設会社のメールには、請求書だけでなく、図面、見積書、工程表、工事写真などの重要な資料が添付されることがあります。

メールアカウントが不正利用された場合、保存されているメッセージや添付ファイルが閲覧される可能性があります。

例えば、元請から受け取った設計図面が流出すれば、取引先との信頼関係に影響することが考えられます。

また、見積書に記載された単価や取引条件が第三者に知られることも、事業上のリスクになり得ます。

対策として、重要な情報をメールボックス内だけに保存し続けないことや、共有先・保存先・アクセス権限を管理することが重要です。

資料の共有方法は、元請との契約条件や情報管理ルールも確認してください。

6．メールアカウントを守る基本対策

メールアカウントの保護は、被害拡大を防ぐための重要な対策です。

まずは、会社で使用しているメールサービスについて、次の点を確認しましょう。

• 社員ごとに個別のアカウントを利用しているか
• パスワードを複数サービスで使い回していないか
• 多要素認証を利用できる場合は有効にしているか
• 退職者や異動者のアカウントを適切に管理しているか
• 不審なログイン通知を確認できるか
• 自動転送設定やメール振り分けルールを把握しているか

特に、自動転送設定が第三者によって変更されていると、メールが外部へ送られ続ける可能性があります。

メールサービスの管理者が、必要に応じてログイン履歴、転送設定、接続中の端末やアプリを確認できる体制を整えておきましょう。

7．協力会社との情報共有ルール

協力会社との情報共有では、メールだけに依存しない仕組みも検討できます。

例えば、重要な図面はアクセス権限を設定できる共有サービスで管理し、メールには資料の所在だけを知らせる運用も考えられます。

ただし、クラウドサービスを使えば必ず安全になるわけではありません。

共有リンクの公開範囲、閲覧権限、有効期限、工事終了後のアクセス削除などを確認する必要があります。

また、元請から受け取った資料を別の協力会社へ共有する場合には、契約上の再共有条件も確認してください。

外部サービスと情報共有の管理については、クラウドサービス・外部事業者のリスクも参考になります。

8．不審メールを受け取った社員の対応

社員が不審なメールを受け取った場合、まず重要なのは、その場で依頼に従わないことです。

例えば、取引先を名乗るメールで振込先変更を求められた場合は、支払処理を進める前に確認します。

不審な添付ファイルやリンクがある場合は、安易に開かないようにします。

社内で決めておきたい行動は次のとおりです。

1. 不審なメールのリンクや添付ファイルを開かない
2. メールだけで振込先や重要な情報を変更しない
3. 既知の連絡先で取引先へ確認する
4. 社内の情報管理担当者や責任者へ報告する
5. 必要に応じてメールを証拠として保存する

社員が迷ったときにすぐ相談できる連絡先を決めておくと、判断の負担を減らせます。

9．乗っ取りが疑われた場合の初動対応

自社のメールアカウントが不正利用された疑いがある場合は、被害の拡大を防ぐため、速やかに社内の管理担当者やメールサービスの管理者へ連絡します。

状況に応じて、次の対応を検討してください。

• 不正なログインや送信の有無を確認する
• 安全な端末から認証情報を変更する
• 不審なセッションや接続を無効化する
• 多要素認証の設定を確認する
• 自動転送・振り分けルールを確認する
• 不審な送信先や閲覧された可能性のある情報を調べる
• 必要なログやメールを保全する

実際の対応は利用しているメールサービスや被害状況によって異なります。管理会社や専門家と連携して進めてください。

なお、取引先から「あなたの会社のメールが不審だ」と連絡を受けた場合も、決めつけずに調査することが重要です。

10．元請・取引先への連絡と被害拡大防止

メールアカウントの不正利用が疑われる場合、取引先への連絡が必要になることがあります。

例えば、不審なメールが送信された可能性がある相手には、正規の別連絡手段を使って注意を呼びかけることが考えられます。

ただし、原因や被害範囲が確定していない段階で、未確認の事実を断定しないことも大切です。

連絡時には、次の事項を分けて整理します。

• 確認できた事実
• 調査中の事項
• 受信者に注意してほしいこと
• 今後の連絡窓口

元請への報告義務や報告期限がある場合は、契約書や個別の指示を確認してください。

事故時の連絡体制を整理する際は、サイバー事故に備える緊急連絡体制の準備も参考になります。

11．社内で決めたい請求書と送金の承認ルール

メール乗っ取りによる被害を防ぐためには、メールの技術的な対策だけでなく、支払業務の確認手順も重要です。

特に、振込先変更や高額な支払指示については、一人の担当者だけで判断しない仕組みを検討してください。

このようなルールは、協力会社のメール乗っ取りだけでなく、一般的な請求書詐欺やなりすまし対策にも役立ちます。

12．中小建設会社が優先したい3つの対策

専任の情報システム担当者がいない中小建設会社でも、重要な対策から始められます。

① 振込先変更を別経路で確認する

取引先からのメールで振込先変更が届いた場合は、登録済みの電話番号などを使って確認します。

② メールアカウントの認証を強化する

多要素認証の設定、パスワードの使い回し防止、退職者のアカウント管理を確認します。

③ 不審メールの報告先を決める

社員が不審なメールを受け取った場合、誰へ報告するかを決めておきます。

これらの対策を優先することで、取引先のメールが不正利用された場合でも、被害の拡大を防ぐための確認手順を持つことができます。

サイバー事故への備えを整理する際は、中小企業のサイバー保険と実務対策も参考になります。

ただし、保険への加入はメールの安全管理や送金確認の代わりにはなりません。補償の有無は契約内容と事故状況によって異なります。

13．経営者向けチェックリストと今日の一歩

最後に、自社の対応状況を確認しましょう。

• □ 取引先の振込先変更を別経路で確認している
• □ メールだけで高額な送金を決めない
• □ 社員のメールアカウントに多要素認証を設定している
• □ パスワードの使い回しを避けている
• □ 退職者のメールアカウントを管理している
• □ 不審な転送設定やログイン履歴を確認できる
• □ 図面・見積書の保存先と共有先が分かる
• □ 協力会社との共有リンクの権限を確認している
• □ 不審メールを受けた社員の報告先が決まっている
• □ 事故時の元請・取引先への連絡先を把握している
• □ 確認できた事実と調査中の事項を分けて報告できる

協力会社のメール乗っ取りは、一社だけの問題で終わらない可能性があります。

しかし、正規のアドレスから届いたメールでも重要な変更は別経路で確認する、メールアカウントを適切に保護する、不審な連絡を社内で共有する。

こうした基本を整えることで、被害が広がるリスクを減らせます。

まずは、今日の請求書処理と取引先への確認手順から見直してみてください。