建設業のビジネスメール詐欺｜現場と経理で実践する予防策と確認手順

「いつも取引している協力会社からのメールだから、大丈夫」

そう思って、請求書や振込先変更の依頼をそのまま処理していませんか。

建設会社では、元請会社、下請会社、協力会社、資材業者、設計事務所などと日常的にメールで連絡します。

そのやり取りを悪用する犯罪の一つが、ビジネスメール詐欺です。

取引先の名前を装ったメールだけでなく、実際のメールアカウントが不正利用される場合もあります。

そのため、差出人の名前やメールの見た目だけで安全と判断することはできません。

この記事では、建設会社の現場担当者と経理担当者が実務で守れる予防策を、具体的な確認手順とともに解説します。

1．建設業のビジネスメール詐欺とは

ビジネスメール詐欺とは、企業間のメール連絡を悪用し、金銭や情報をだまし取ろうとする詐欺のことです。

例えば、取引先を装って振込先の変更を求めたり、経営者になりすまして急な送金を指示したりする手口があります。

実際の取引内容や担当者名を知ったうえで、自然な文章のメールが送られる場合もあります。

さらに、正規のメールアカウントが乗っ取られた場合は、本物のアドレスから不正な依頼が届く可能性があります。

そのため、メールアドレスが見慣れたものでも、依頼内容の確認が必要です。

本記事で紹介する具体的な建設会社の場面は、実務上の想定例です。特定の企業で実際に発生した事故として紹介するものではありません。

2．建設会社で注意したい取引場面

建設会社では、複数の企業と工事ごとに取引を行います。

そのため、請求書や振込先、工事資料などをメールでやり取りする機会があります。

振込先の変更や請求書の再発行が、すべて不正な依頼というわけではありません。

正当な変更であっても、決められた手順で確認することが重要です。

3．詐欺メールを見抜きにくい理由

不審なメールには、不自然な日本語や見慣れない送信元が使われる場合があります。

しかし、ビジネスメール詐欺では、普段の取引に近い内容で連絡してくる場合もあります。

例えば、次のようなメールです。

このようなメールが届いた場合、文章が丁寧でも、送信元が取引先の名前でも、それだけで信用してはいけません。

特に、口座変更、急ぎの送金、普段とは異なる送付先への資料送信などは、確認が必要です。

4．振込先変更依頼を確認する手順

振込先変更の依頼が届いた場合は、メールへの返信だけで確認を終わらせないことが重要です。

確認手順

1. 振込先変更の依頼を受けた時点で、送金処理を一時保留する
2. 契約書や過去の取引記録にある既知の電話番号を確認する
3. 取引先の担当者へ電話し、口座変更の事実を確認する
4. 必要に応じて、正式な変更書類や社内承認を確認する
5. 確認日時、担当者名、確認内容を記録する
6. 社内の承認手順を経てから口座情報を更新する

注意したいのは、変更依頼のメールに書かれた電話番号だけを使わないことです。

詐欺メールには、偽の連絡先が記載されている可能性があります。

必ず、以前から把握している電話番号など、独立した連絡手段で確認しましょう。

5．請求書や添付ファイルの確認

請求書がメールで届いた場合、金額だけでなく、取引内容や振込先も確認しましょう。

特に、請求書の再送や差し替えが行われた場合は、変更点を確認することが重要です。

見積書や請求書を受け取る機会が多い企業ほど、確認手順を統一しておくことが役立ちます。

6．元請・協力会社からの緊急依頼

建設業では、工期や支払期日など、期限が決まっている業務が多くあります。

そのため、「今日中に対応してほしい」「支払いが間に合わない」といった連絡を受けることもあるでしょう。

しかし、緊急性を理由に、通常の確認手順を省略しないことが重要です。

特に次のような依頼は、一度確認しましょう。

• 突然の振込先変更
• 社長や役員を名乗る急な送金指示
• 普段とは異なるメールアドレスへの資料送付
• 取引先担当者の変更を理由とする新しい連絡先の案内
• 通常とは異なる請求書の再送や差し替え

確認が終わるまで処理を保留するルールがあれば、担当者が一人で判断する負担を減らせます。

7．現場と経理の役割分担

ビジネスメール詐欺を防ぐためには、現場担当者と経理担当者の役割を明確にすることが重要です。

例えば、現場担当者は工事内容や出来高を確認し、経理担当者は請求書や振込先情報を確認します。

口座変更があった場合は、担当者だけで完結させず、別の担当者や責任者による確認を行う仕組みが役立ちます。

小規模企業では、同じ担当者が複数の役割を兼ねる場合があります。

その場合も、口座変更など重要な処理について、社長や別の担当者が確認する仕組みを検討しましょう。

8．メールアカウントを守る対策

ビジネスメール詐欺では、偽のメールアドレスだけでなく、正規アカウントの不正利用にも注意が必要です。

そのため、メールアカウント自体を守る対策も重要です。

• 重要なメールアカウントに多要素認証を設定する
• パスワードを使い回さない
• 退職者や不要なアカウントを削除する
• 管理者権限を必要な担当者に限定する
• 不審なログイン履歴を確認する
• 意図しないメール転送設定がないか確認する
• 不審なアプリ連携やログインセッションを確認する

多要素認証を設定していても、すべての不正利用を防げるわけではありません。

認証設定とあわせて、アカウントの利用状況を確認することが重要です。

9．協力会社との共有情報の管理

建設会社では、元請会社、下請会社、協力会社、設計事務所などと、図面や工程表、工事写真などを共有することがあります。

共有先を増やす場合は、誰がどの情報へアクセスできるのか確認しましょう。

また、工事が終了した後は、不要なアクセス権限を整理することが重要です。

例えば、以前の工事で利用した共有フォルダに、契約が終了した協力会社のアカウントが残っていないか確認します。

クラウドや外部事業者の管理については、クラウドサービス・外部事業者のリスクも参考になります。

10．社内ルールのひな形

ビジネスメール詐欺を防ぐために、現場と経理で共有できる簡単な社内ルールを決めておくと役立ちます。

これは一般的なひな形です。実際の運用では、会社の規模、担当者数、取引方法に合わせて調整してください。

重要なのは、社員が迷ったときに確認できる、分かりやすいルールにすることです。

11．不審なメールを受け取ったときの初動

不審なメールを受け取った場合は、まず依頼内容の処理を急がないことが重要です。

送金や情報送付を求める内容であれば、確認が終わるまで処理を保留します。

次に、既知の連絡先で取引先に確認し、社内の責任者やシステム管理担当へ報告します。

すでに送金してしまった場合は、速やかに金融機関へ連絡し、組戻しなどの対応が可能か確認します。

ただし、送金した資金が必ず回収できるわけではありません。

必要に応じて、警察や専門事業者への相談も検討します。

また、メールアカウントの不正利用が疑われる場合は、ログや関連記録を保全し、専門担当者と連携してアカウントの保護を進めます。

事故時の連絡体制については、サイバー事故に備える緊急連絡体制の準備

12．社長向け実務チェック表

事故に伴う費用や業務への影響に備える際は、中小企業のサイバー保険と実務対策も参考になります。補償の有無は契約内容や事故状況によって異なります。

13．今日の一歩とまとめ

建設業のビジネスメール詐欺を防ぐには、不審なメールを見抜くことだけに頼らないことが重要です。

取引先の名前や正規のメールアドレスを使った連絡であっても、振込先変更など重要な依頼は別の連絡手段で確認しましょう。

また、現場と経理の役割分担、社内承認、アカウント管理などを組み合わせることで、担当者が一人で判断する負担を減らせます。

メールを信用するかどうかではなく、重要な依頼を確認する仕組みをつくる。

それが、建設会社のビジネスメール詐欺対策で大切な考え方です。

参考情報：IPA｜情報セキュリティ／JPCERT/CC