ビジネスメール詐欺（BEC）対策とは？手口・被害事例と企業が取るべき防御策を解説
取引先や経営層になりすまし、企業に巨額の送金を指示する「ビジネスメール詐欺（BEC：Business E-mail Compromise）」の被害が深刻化しています。実際に国内でも、大手航空会社や大手新聞社などが被害を受けており、「自社は大丈夫」とは言い切れない状況です。
BECの特徴は、従来の迷惑メールとは異なり、実在する人物や取引先を巧妙に装って人間の心理的な隙を突く点にあります。
そのため、セキュリティソフトだけでは防ぎ切れず、組織的な運用ルールと技術的対策を組み合わせた「多層防御」が重要です。
本記事では、BECの代表的な手口や被害事例を紹介した上で、企業が実施すべき対策を解説します。
DMARCやMicrosoft 365を活用した技術的対策についてもわかりやすく紹介し、情シス・経理担当者が上司への提案資料としても活用できる内容にまとめています。
ビジネスメール詐欺（BEC）とは
ビジネスメール詐欺（BEC）は、近年のサイバー犯罪の中でももっとも金銭的被害が深刻化しやすい攻撃の一つです。
ここではその定義から、他の攻撃との違い、そして現代においてなぜこれほど猛威を振るっているのか、その本質を深掘りします。
BECの定義
BECとは、攻撃者が取引先や自社の役員、弁護士などの信頼できる人物になりすまし、巧妙に偽装したメールを送りつけることで、従業員を騙して不正な送金を行わせたり、機密情報を盗み出したりする詐欺手法です。
その特徴は、システムの脆弱性を突く技術的な攻撃ではなく、人間の心理的な隙や業務上の信頼関係を悪用する「ソーシャルエンジニアリング」を主眼としている点にあります。
攻撃者はターゲットを徹底的に調査し、日常の業務フローに完全に溶け込んだ形で接触してくるため、受信者は通常の業務連絡として疑いを持たずに指示に従ってしまうのです。
フィッシング詐欺・標的型攻撃との違い
BECはしばしば他のサイバー攻撃と混同されますが、その性質は明確に異なります。
-
フィッシング詐欺との違い： フィッシング詐欺は、不特定多数に対して銀行のログイン情報などを盗むメールを大量に送信する「数」の攻撃です。
対してBECは、特定の企業・個人を狙い撃ちにする「質」の攻撃であり、メールの内容もターゲットに合わせて完全にオーダーメイドされます。 -
標的型攻撃との違い： 標的型攻撃の多くはマルウェア（ウイルス）を感染させて情報を盗むことが目的ですが、BECは送金という一回の手続きで完結する直接的な金銭詐取を目的とします。
また、BECはウイルス付きのファイルを使わず、メールの本文（テキスト）のみで成立するケースも多く、従来のセキュリティ製品では検知が極めて困難です。
Eメールアカウント侵害（EAC）との関係性
BECを語る上で欠かせないのが、Eメールアカウント侵害（EAC：Email Account Compromise）です。
EACは、攻撃者が何らかの手法で実際の社員や取引先のメールアカウント（ID・パスワード）を盗み出し、不正にログインすることです。
EACが発生すると、攻撃者は本物のメール履歴をすべて閲覧できるため、過去のやり取りのトーンや請求書の送付タイミングを詳細に把握できます。
その上で本物のアカウントから偽の指示を送るため、技術的にも心理的にも見破ることは非常に難しくなります。
近年は、このEACを悪用したBECも増加しており、本物のアカウントから送信されるメールは見分けが難しく、被害の拡大につながるケースも少なくありません。
なぜ今BEC被害が増えているのか
背景には、ビジネスコミュニケーションのデジタル化とグローバル化が加速したことがあります。
特にMicrosoft 365などのクラウドメールの普及により、一度アカウント情報が漏洩すれば、世界中のどこからでも社内の動向を監視できるようになりました。
また、サイバー犯罪グループが企業組織化しており、ターゲット選定、文面作成、マネーロンダリング（資金洗浄）といった役割分担を徹底することで、攻撃の成功率を飛躍的に高めていることも大きな要因です。
一度の成功で数億円という巨額の利益が得られる効率の良さが、犯罪者を惹きつけているのです。
ビジネスメール詐欺の代表的な手口
攻撃者は、ターゲットとなる企業の組織構造や取引状況を念入りに調べ上げ、もっとも隙が生じやすいパターンで攻撃を仕掛けます。
ここでは代表的な5つの手口を詳しく解説します。
取引先を装った請求書詐欺（支払口座の変更指示）
もっとも頻繁に確認される手口であり、実在する取引先になりすまして「振込先口座が変更になった」という虚偽の通知を送ります。
多くの場合、本物の請求書に酷似したPDFファイルが添付されており、そこには攻撃者が管理する海外口座などが指定されています。
ドメイン名を一文字だけ変える（例：example.co.jp を examp1e.co.jp にするなど）といった細工が施されており、多忙な担当者がいつもの支払いとして処理してしまうことを狙っています。
経営層や役員を装う「CEO詐欺」
自社の社長や会長、海外拠点のCEOなどになりすまし、経理・財務担当者に直接メールを送る手口です。
「極秘のM&A案件が進行中で、至急手付金を振り込む必要がある」「法的トラブルの解決のために他言無用で対応してほしい」といった強い言葉を使い、担当者に心理的なプレッシャーを与えます。
上位者からの特命であるという心理的な重圧により、担当者が正規の承認フローや二重チェックを省略してしまうのを攻撃者は狙っています。
社外の権威ある第三者（弁護士など）へのなりすまし
弁護士、会計士、コンサルタントといった社外の専門家を装う手口です。
しばしばCEO詐欺と組み合わされ、「社長から指示を受けて連絡した弁護士の〇〇です。先ほどの送金の詳細は私から指示します」といった形で接触してきます。
専門職特有の威厳や社会的信頼を悪用し、指示の内容に正当性があると感じさせることで、担当者の警戒心を解こうとします。
実在するメールアカウントの乗っ取り・悪用
EACによって乗っ取った実際のアカウントから、現在進行中のメールスレッドに介入する手法です。
昨日のやり取りを引き継いだ形で「先ほど送った口座番号に誤りがあったので、こちらのアカウントにお願いします」とメッセージを差し込みます。
本物のメールアドレスから正しい文脈で届くため、もはやメールの表示名やアドレスを確認するだけでは防げません。
詐欺の成功率を高める事前調査・偵察活動
金銭を要求する前の下準備としての行動です。
攻撃者は数週間にわたってターゲットを監視し、「誰が送金の承認権限を持っているか」「上司が長期休暇で不在になるのはいつか」「取引先との定例の請求サイクルはいつか」といった情報を収集します。
この偵察活動によって、攻撃者は「もっともチェックが甘くなるタイミング」をピンポイントで狙い、完璧な偽の指示を送りつけます。
ビジネスメール詐欺の最新の傾向
サイバー攻撃の世界でも、生成AIや高度な偽装技術が積極的に取り入れられており、従来の目視による判別だけでは対応が難しくなっています。
生成AI（ChatGPTなど）による「ビジネス日本語」の高度化
かつての海外発BECメールは、翻訳ソフトを通したような不自然な敬語や、日本で使われないフォントの違和感で見破ることが可能でした。
しかし現在は、生成AIを活用することで、自然で違和感の少ないビジネスメールを短時間で作成できるようになりました。
日本特有の「お世話になっております」から、相手の役職や関係性に合わせた敬語の使い分けまで、AIは自然なビジネス文書を短時間で生成できるため、従来よりも違和感の少ない詐欺メールが作成されるようになっています。
そのため、文章の不自然さだけで詐欺を見抜くことは以前より難しくなっています。
ディープフェイク（音声・動画）を組み合わせたCEO詐欺
メールの文面を巧妙にするだけでなく、AIで特定の人物の声を模倣する音声ディープフェイクを組み合わせた攻撃が登場しています。
海外では、偽のメール送信後に社長や上司の声を模倣した電話をかけ、「先ほどメールした件を急ぎで対応してほしい」と指示する事例も報告されています。
受話器から聞こえる声が聞き慣れた本人のものであるため、担当者は疑いようもなく指示に従って送金を実行してしまいます。
このように、聴覚・視覚を騙す技術の悪用がBECをより深刻な脅威に変えています。
実際に起きたBEC被害事例と企業への影響
実際の事例を知ることは、自社のリスクを評価し、具体的な対策を講じるための教訓となります。
日本企業で発生したBEC被害事例
国内で発生した巨額被害の中でも、特に代表的なのが以下の事例です。
-
日本航空（JAL）の被害： 2017年、海外の取引先になりすました攻撃者から「支払口座を変更した」との偽メールを受け、計約3億8,000万円を詐取されました。
-
日本経済新聞社の被害： 2019年、米国子会社の役員になりすました攻撃者による「CEO詐欺」が発生し、約32億円（約2,900万ドル）が不正送金されました。
いずれのケースも、取引先や経営層になりすました巧妙なメールによって担当者が誤って送金を実施した事例として知られています。
こうした被害の背景には、個人のハッカーではなく組織化された犯罪ネットワークが存在します。
2019年にFBIが主導した国際摘発作戦「Operation reWired」では、世界各地で281人以上が逮捕され、約1億1,800万ドル相当の不正送金が阻止・回収されました。
（情報参照元：FBI公式サイト）また、BECが単なる個人犯罪ではなく、国家をまたいで役割分担された組織的な犯罪である実態も明らかになりました。
一度送金された資金は複雑なルートで即座に洗浄されるため、回収は非常に難しい点も、BECの深刻さを物語っています。
被害企業に共通する「狙われやすいポイント」の分析
被害に遭う企業を分析すると、「海外拠点や取引先とのやり取りが多い」「特定の時期に高額な支払いが集中する（決算期など）」「組織が大きく、役員と現場の距離が遠い」「メールを唯一のコミュニケーション手段としている」といった共通点が見えてきます。
特に「メールで届いた指示だから正しい」という無意識のバイアスが、組織全体に蔓延している場合がもっとも危険です。
金銭被害だけでは済まない理由（信用失墜・法的リスク）
直接的な金銭の損失はあくまで被害の一部です。
より深刻なのは、取引先からの「セキュリティ管理が甘い」という評価による信用失墜であり、これが取引停止やブランドイメージの著しい低下につながります。
また、巨額の損失を出したことに対し、株主から「適切なセキュリティ対策を怠った」として役員が善管注意義務違反で提訴される法的リスクも無視できません。
加えて、PマークやISMSなどの認証維持や監査対応に影響を及ぼす可能性もあります。
中小企業もターゲットになりやすい理由
「うちは規模が小さいから狙われない」という考えは、現代のサイバー犯罪においては致命的な誤りです。
攻撃者は、セキュリティが強固な大手企業を直接狙うのではなく、その取引先である中小企業をまず乗っ取り、そこを踏み台にして大手企業へ詐欺メールを送るサプライチェーン攻撃を常套手段としています。
中小企業は、大手企業との取引関係を悪用する攻撃の足掛かりとして狙われるケースもあります。特にセキュリティ対策や運用ルールが十分に整備されていない場合は注意が必要です。
今すぐ実践できるビジネスメール詐欺対策
現場の担当者が今日からでも実行でき、かつ極めて効果が高い対策を紹介します。
振込依頼や口座変更はメール以外の手段（電話など）でも確認する
もっともシンプルかつ強力な対策は、メール以外の経路（アウトオブバンド）での事実確認の徹底です。
取引先から口座変更の連絡があった場合、名刺・契約書・公式サイトなどで確認済みの電話番号へ掛け直し、担当者に口頭で事実確認を行ってください。
この際、メールに記載されている電話番号は攻撃者のものである可能性があるため、絶対に避けてください。
不自然なメールの特徴を全社で共有し、注意喚起を行う
「異常なまでの緊急性（今日中に振り込め）」「他言無用という口止め」「普段使わない不自然な言い回し」など、BEC特有のサインを社内でリスト化し、共有してください。
全社員が、少しでも違和感があったら立ち止まる意識を持つことが、組織全体の防御力を底上げします。
送金・口座変更時における承認フローを見直す
一人の担当者の判断で送金や振込先登録が完結しないよう、必ず上席者や別部署の担当者による二重承認（デュアルコントロール）を必須としてください。
承認プロセスを多層化することで、心理的なプレッシャーによるミスや詐欺の実行を仕組みとして阻止できます。
不審なメールをすぐ報告できる体制を整える
「怪しい」と思った際、気兼ねなく情報システム部門やセキュリティ担当へ報告できる専用窓口を用意します。
報告しやすい環境を整えることで、被害が拡大する前に兆候を把握しやすくなります。
組織全体で取り組むべきBEC防止の体制づくり
個人の注意に頼るだけでなく、会社の仕組みそのものを詐欺に強い形へ変えていく必要があります。
従業員の「気づき」を養うセキュリティ教育・訓練
最新のBEC事例や手口を学ぶ定期的な研修を実施します。
また、実際に偽の詐欺メールをテスト送信する標的型メール訓練は、従業員の対応力を高め、いざというときの報告フローを体に覚えさせるために非常に有効です。
訓練を通じて、理論だけでなく実体験として脅威を理解させることが重要です。
インシデント発生時の報告ルートと社内規程の整備
「送金や振込先変更時は必ずメール以外の手段で確認を行う」といったルールを、単なる推奨事項ではなく社内規程として明文化してください。
規程化することで、たとえ上司からの急な指示であっても、担当者は自信を持って「会社のルールですので再確認が必要です」と適切な対応が取れるようになります。
取引先とも「支払いに関する確認プロセス」を事前に合意する
主要な取引先と、あらかじめ振込口座の変更時のルールについて合意しておきます。
「当社はメールのみで口座変更を依頼することはありません。必ず所定の書類と、担当者からの電話確認をセットにします」といった合意を交わしておくことで、攻撃者がその間に入り込む隙を物理的に塞げます。
技術的に実施すべきBEC対策（システム防御の強化）
人間の注意力を技術で補完し、攻撃の入り口を自動的に遮断するシステム的アプローチを解説します。
多要素認証（MFA）によるアカウント乗っ取りリスクの大幅な低減
IDとパスワードだけの単一要素認証では、十分な防御が難しくなっています。
スマートフォンアプリやセキュリティキーによる多要素認証（MFA）を可能な限り全アカウントへ適用することが推奨されます。
これにより、万が一パスワードが漏洩しても、アカウントが侵害（EAC）される事態を食い止め、自社が詐欺の送信元になることを防げます。
SPF・DKIM・DMARCによるなりすまし対策
これらはメールの正当性を証明する送信ドメイン認証と呼ばれる技術です。
特にDMARC（ディーマーク）の運用は急務です。
単に「p=none（監視）」で終わらせるのではなく、ログを分析しながら最終的に「p=reject（拒否）」のポリシーへ移行させることで、なりすましメールを相手に届かなくすることができます。
2024年にGoogleやLINEヤフーが大量送信者向け要件を強化したことで、SPF・DKIM・DMARCの導入や適切な運用の重要性がこれまで以上に高まっています。
Microsoft Defender for Office 365による検知・防御強化
Microsoft 365を導入している企業であれば、Defender for Office 365の高度な活用が推奨されます。
AIが役員名に酷似した表示名を検知するなりすまし保護や、メール内のURLをリアルタイムでスキャンする安全なリンク（Safe Links）、添付ファイルを仮想環境で検証する安全な添付ファイル（Safe Attachments）により、高度な脅威を自動的に検知し、対処します。
Defender for Office 365環境で見直すべきセキュリティ設定のポイント
「外部への自動転送ルールの監視（情報流出の防止）」「外部からのメールへの警告タグ付与」「レガシー認証の無効化」など、プラットフォーム側の設定を最適化するだけで、大きく改善します。
これらは専門的な知識を要しますが、防御の基盤を固める上で極めて重要です。
BEC対策を成功させるためのポイント
対策を一過性のものにせず、実効性を維持するための戦略的な視点です。
人的・組織的・技術的な対策を組み合わせる「多層防御」の重要性
技術（システム）で入り口を塞ぎ、組織（ルール）で暴走を止め、人（教育）が最後に気づくという、三位一体の多層防御が揃って初めて、巧妙なBECに対抗できます。
どれか一つの対策に過信せず、さまざまなリスクに対応できるよう、多層防御の仕組みを継続的に整備・強化することが成功の秘訣です。
高度な設定と継続的な運用を自社だけで完結させる難しさ
DMARCのポリシー移行やMicrosoft 365の高度な設定変更には、深い専門知識が必要です。
設定を誤れば、自社の重要なメールが届かなくなるといった業務上の事故を招く恐れもあります。
また、進化し続けるAI攻撃に対応し続けるためのリソース確保も、社内リソースだけでは限界があります。
対策導入前に確認したい「自社セキュリティ・チェックリスト」
自社の現状を把握するため、以下の項目を確認してください。
□ 全アカウントにMFAが適用されているか
□ DMARCを設定し、拒否・隔離ポリシーへの移行を計画しているか
□ 振込先変更時の「電話確認ルール」が規程として存在するか
□ 不審メールを報告する専門窓口が全社員に周知されているか
これらをセルフチェックし、優先順位をつけて対策を開始することが先決です。
ビジネスメール詐欺対策ならTDCソフトへ相談
ビジネスメール詐欺（BEC）対策を実効性のあるものにするには、MFAやDMARCの設定、Microsoft 365の最適化、従業員教育など、専門知識を要する施策を継続的に運用し続ける必要があります。
しかし、これらすべてを社内リソースだけで完結させることは、多くの企業にとって大きな負担となっているのが現実です。
TDCソフトでは、Microsoft 365環境のセキュリティ設定からDMARCの段階的な運用ロードマップの策定、インシデント対応体制の構築まで、企業の状況に合わせたBEC対策をトータルでサポートします。
「現状のセキュリティ設定で本当に大丈夫か不安」「対策を強化したいが、何から手をつければ良いかわからない」といったお悩みをお持ちの方は、ぜひ一度TDCソフトへご相談ください。
まとめ｜BEC対策は「人」と「技術」の多層防御が重要
ビジネスメール詐欺（BEC）は、もはや他人事ではなく、あらゆる規模の企業が直面している現実的かつ致命的な経営リスクです。
AIの進化により文面の違和感で見破ることが不可能に近づいている今、必要なのは個人の注意に頼り切らない、仕組みとしての対策です。
振込前の別ルート確認という組織的なルールを徹底すると同時に、多要素認証（MFA）やDMARC、Microsoft Defenderといった技術的な防壁を何重にも張り巡らせる多層防御が非常に有効な対策です。
自社だけで完結させることが難しい専門的な領域については、経験豊富なパートナーの力を借りて、盤石な体制を整えてください。