サイバー事案003｜その振込先変更、誰にどう確かめますか

正規メールや経営者名義を装う支払指示に備える、経理・業務・ICTの確認ルール

取引先や社内の経営者から、いつも通りの文面で振込先の変更や至急の送金を求められたとき、自社の現場は何を根拠に支払を実行しているでしょうか。システムそのものが停止していなくても、日常のメールや連絡ツールを起点として資金が流出する事案も起きています。本稿では、独立行政法人情報処理推進機構（IPA）が公表した匿名企業のビジネスメール詐欺事例と、それとは別に警察庁が2026年2月に発出した法人向け詐欺の注意喚起を手がかりに、支払・送金業務を守るための確認体制を整理します。第1回で扱った「会員情報を守る、6つの点検領域」や、第2回で扱った業務停止からの復旧順位とは切り離し、今回は「送金先変更や異例の支払指示を、どの業務担当者が何の資料で確かめるか」に焦点を当てます。

この記事の要点

• 正規のメールアカウントから届いた連絡や見慣れた表示名であっても、それだけを根拠に振込先変更を承認しない仕組みが必要です。

• 経営者等を名乗るSNSグループへの誘導や至急の送金指示など、通常の支払手順を外れる依頼には、別経路での本人・事実確認を組み込みます。

• 不審な点に気づいた際は、社内記録の完成を待たずに既存の社内窓口や取引金融機関の公式窓口へ連絡し、並行してメール等の証拠を保全します。

公的資料で示された事例と手口

まず、公的機関が公表している2つの異なる情報源を確認します。これらは別個の事例および注意喚起であり、同一の事件ではありません。

1つ目は、IPAが2024年5月16日に公表した「ビジネスメール詐欺（BEC）の詳細事例7」（全20ページ、紙面1〜18ページ）です。2023年11月から12月にかけ、国内企業A社（支払側）と海外取引先企業B社（請求側）の英文メールによる取引において、B社担当者になりすました攻撃者が送金先口座の変更を求める偽メールを送り、金銭を詐取した事例として紹介されています（PDF 3ページ／紙面1ページ）。 この事例では、メールのヘッダー情報等から、B社製品担当者の正規メールアカウントが乗っ取られ、そこから偽メールが送信されたとみられています。ただし、攻撃者がいつ不正アクセスに成功したかの時期は不明であり、以前から盗み見られていた可能性も、送信直前に過去のメールを見られた可能性もあると留保されています（PDF 9ページ／紙面7ページ）。攻撃者は最初に支払予定日を尋ねて返信させました。この最初の介入メール以降、CC欄にあったB社関係者のアドレスは正規ドメインと1文字違いの詐称用ドメインに差し替えられ、表示名は正規関係者と同じに設定されていました。その後、支払予定日の約1週間前に口座変更を要求しました（PDF 8〜10ページ／紙面6〜8ページ）。IPAは、支払予定日の約1週間前の口座変更要求については確認の時間を与えない狙い、送金後に詐称用ドメインから届いた偽メールについては発覚を遅らせる意図があったと推測しています（PDF 17〜19ページ／紙面15〜17ページ）。なお、この事例の企業名は匿名で紹介されています。IPAはまとめとして、急な振込先や決済手段の変更時には取引先へメール以外の方法で確認するなど、送金に係る社内規定やチェック体制の整備・見直しを勧めています（PDF 20ページ／紙面18ページ）。

2つ目は、上記IPA事例とは別の動きとして、警察庁が2026年2月13日に公表した注意喚起「法人を対象とした詐欺（ニセ社長詐欺）に注意！」です。こちらでは、実在する社長名や会社名を使い、公開されている法人のメールアドレス宛てに経営者等になりすましたメールを送り、「新しいプロジェクトのため」などと装ってSNSグループの作成や招待用QRコードの返信を指示する手口が示されています。また、振込権限を持つ担当者をグループへ含めるよう求められる場合もあるとされています。その後、SNSグループ内で口座残高を回答させた上で、「事業資金が至急必要だ」「取引先への支払いを代行してほしい」などと指定口座への送金を求めます。警察庁は対策として、社内での情報共有、送金ルールの再確認、SNSグループ誘導への注意（誘導された場合は通報機能があれば通報し速やかに退出すること）を呼びかけています。この注意喚起は手口への警戒を促すものであり、送金後の被害回復や補償を保証するものではありません。

支払の確認手順を自社で点検する

これら2つの公的情報から導かれる実務上の教訓は、送信元アドレスの文字列、画面上の表示名、あるいは添付された請求書の体裁といった「届いた連絡の見た目」だけで、支払先の変更や例外的な送金を確定させないことです。正規アカウント自体が乗っ取られている場合や、閉じたSNSグループへ誘導された場合、担当者個人の注意力だけで真偽を見抜くことには限界があります。また、連絡手段を電話に変えれば常に安全とも、複数人で書類を回覧すれば確実に防げるとも言い切れません。

そこで当連載では、経理・財務部門、取引を担う事業部門、そしてICT管理部門が連携し、支払プロセスを5つの関門に分けて点検する実務整理を提案します。以下の概要図および確認項目は、公的機関の公式分類や安全認定ではなく、社内の運用を棚卸しするための当連載独自の整理例です。

[概要図] 支払指示・口座変更における5段階の点検フロー（当連載による独自整理）

担当・確認資料・次の着手

この点検は技術部門だけでは完結しません。まず経理責任者と業務部門長が「支払規定・口座マスタ変更手順書」を持ち寄り、急な振込先変更や決済手段変更の際に「誰が、どの既存台帳の連絡先を使って、メール以外の方法で確認するか」が明文化されているかを確かめます。依頼メールの署名欄にある電話番号へそのまま架電してしまうと、攻撃者が用意した窓口につながる恐れがあるため、契約時や過去の取引で既に把握している連絡先を参照する運用が欠かせません。

次に、経営層を含めて「例外・至急送金の扱い」を合意します。社長や役員からの直接指示であっても、SNSグループでの送金指示や残高照会は行わない旨を社内で共有し、緊急時こそ既定の承認ルートを通す原則を確認します。

5確認項目（自社点検用）

このページは閲覧専用です。以下の5項目は、手元の社内メモ等に「確認済み」「未確認」「理由あり該当なし」「未回答」の4区分で記録して整理してください。「確認済み」は担当・確認資料・確認日がすべて揃った記録、「未確認」はこれから確かめる項目や一部だけ確認した項目、「理由あり該当なし」は対象外である理由を記した記録、「未回答」はまだ区分を選んでいない未着手の項目として残します。「確認済み」とした記録でも担当・確認資料・確認日のいずれかが欠ける場合と、「該当なし」に理由がない場合は、未確認として扱います。担当は部署名や役割名でも構いません。この画面には入力・集計・送信・自動保存の機能はなく、項目を埋めても安全性や法令適合を保証・認定するものではありません。

1. 取引先からの振込先口座・決済手段の変更受付ルール

   • 確認の問い：メールの送信元アドレス・表示名・添付書類の見た目だけで口座マスタを変更せず、変更理由と申請経路を確かめる手順があるか。

   • 想定担当：経理責任者・購買／営業管理担当

   • 確認資料：経理規程、取引先口座登録・変更手順書、変更申請書様式

   • 未確認のときの次の着手：直近半年間に発生した振込先変更案件を抽出し、何を根拠に変更を承認したか実態を棚卸しする。

2. 従来把握している連絡先（既知連絡先）を用いた別経路での照合

   • 確認の問い：口座変更の確認時、依頼メール内の連絡先は使わず、契約書や既存取引先台帳に登録済みの連絡先を使ってメール以外の方法で確認しているか。

   • 想定担当：業務部門担当者・経理承認者

   • 確認資料：取引先基本台帳、契約書控え、照合記録欄のある支払承認票

   • 未確認のときの次の着手：支払承認票（またはワークフロー画面）に「既知連絡先による確認日時・相手先氏名・確認手段」の記入欄を設ける。

3. 経営者等を名乗る至急送金・SNSグループ誘導への対応方針

   • 確認の問い：経営者名義のメール等によるSNSグループ作成指示、口座残高の照会、通常手順を省く至急送金指示に応じないルールが役員・社員間で共有されているか。

   • 想定担当：経営管理部門長・経理責任者

   • 確認資料：社内通達・注意喚起文書、職務権限規程、緊急支払時の承認ルール

   • 未確認のときの次の着手：経営層と経理・送金権限者の間で「SNSグループ等を通じた送金・残高回答の指示は行わない」旨を文書で確認し社内周知する。

4. 送金実行前の承認区分と変更履歴・照合記録の突合

   • 確認の問い：ネットバンキング等の振込データ作成者と最終承認者が分離され、承認者が「口座変更の有無」と「既知連絡先での照合記録」を実行前に確認しているか。

   • 想定担当：財務・経理承認者

   • 確認資料：法人インターネットバンキング権限設定表、支払承認履歴ログ

   • 未確認のときの次の着手：インターネットバンキングの利用権限一覧を出力し、単独で口座登録から振込実行まで完結できるIDがないか点検する。

5. 不審な指示や誤送金の疑いに気づいた際の連絡窓口と証拠保持

   • 確認の問い：社内調査や記録の完成を待たずに連絡する社内責任者・取引金融機関の公式窓口と、必要に応じて確認する警察の相談窓口（都道府県警察のサイバー犯罪相談窓口等。公式案内を確認）、メール等を消さずに残す担当が決まっているか。

   • 想定担当：経理責任者・ICT管理担当

   • 確認資料：緊急連絡先一覧（取引金融機関の公式窓口、警察の相談窓口等）、不審メール報告・保全手順

   • 未確認のときの次の着手：主要取引銀行の不正送金・組戻し等の公式照会窓口と受付時間を調べ、経理部門とICT部門の双方が即座に参照できる場所に掲示する。

出典と確認時点

• B301：独立行政法人情報処理推進機構（IPA）「ビジネスメール詐欺（BEC）の詳細事例7」（2024年5月16日公表、PDF全20ページ／紙面1〜18ページ） https://www.ipa.go.jp/security/bec/hjuojm0000003c8r-att/bec_case7.pdf

• B302：独立行政法人情報処理推進機構（IPA）「ビジネスメール詐欺の事例集を見る」（最終更新：2024年5月16日） https://www.ipa.go.jp/security/bec/bec_cases.html

• B303：警察庁・SOS47特殊詐欺対策ページ「法人を対象とした詐欺（ニセ社長詐欺）に注意！」（2026年2月13日公表） https://www.npa.go.jp/bureau/safetylife/sos47/new-topics/260213/01.html

• 確認基準日：2026年11月12日（日本時間）