ビジネスメール詐欺（BEC）の手口と、訓練での備え方

ビジネスメール詐欺（BEC）とは

ビジネスメール詐欺（BEC：Business E-mail Compromise）は、取引先や自社の経営者などになりすました偽のメールを送り、従業員をだまして攻撃者の口座へ送金させる詐欺です。IPAは、BECは特定の企業組織を標的として行われると説明しています。

ウイルスを使う攻撃と違い、メールそのものに危険なファイルやリンクがないこともあります。受け取った人が「本物の依頼だ」と信じて送金の手続きをしてしまうことが、被害の直接の原因になります。

2つの代表的な手口

IPAは、BECをだます相手によって次の2つのタイプに分けています。

タイプ	なりすます相手	主な内容
タイプ1：取引先との請求書の偽装	取引先の担当者	請求のやり取りの途中で、振込先の口座を攻撃者の口座に変える
タイプ2：経営者等へのなりすまし	自社の経営者や役員	「秘密の案件」などと称して、従業員に振り込みをさせる

タイプ1では、攻撃者が事前にメールのやり取りを盗み見て、取引の内容や担当者の名前を調べていることがあります。IPAは、取引先のメールアカウントに不正ログインして正規のアドレスから送る場合や、よく似たドメイン名を取得して送る場合があると説明しています。やり取りの途中に自然に割り込んでくるため、不正に気づくのが難しい手口です。

タイプ2では、財務・経理など、お金を扱う部門が狙われる傾向があります。IPAは、「秘密の案件で相談がある」「少し時間があるか」といった経営層からの問い合わせを装う手口を多く確認しています。

被害の例

• 取引先のアカウントの乗っ取り：IPAの事例集には、海外の取引先の担当者のメールアカウントを乗っ取っていたとみられる攻撃者が、正規のメールアドレスから振込先の変更を求め、金銭をだまし取った事例が掲載されています。IPAの「情報セキュリティ10大脅威 2026」でも、米国の製造委託先からの偽の支払い依頼に子会社が応じ、約1,400万円の損失が出たと企業が公表した事例が紹介されています
• 社長を名乗るメール：IPAの事例集には、国内企業の社長になりすました攻撃者が、グループ企業の役員に送金を求めた事例もあります。この事例では、やり取りの中で不審な点に気づき、社長に電話で確かめたことで被害を防げました
• LINEグループの作成を指示するメール：警察庁は2026年2月13日に「ニセ社長詐欺」の注意喚起を出しました。経営者などを名乗るメールが公開されている会社のアドレスに届き、業務を装ってSNSのグループの作成を指示し、そのグループの中で送金させる手口です。IPAの相談窓口には、同じ種類の手口の相談が2025年12月16日から2026年3月10日までに106件寄せられています

IPAの「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）は、LINEグループに誘導するメールは不特定多数にばらまかれる点でタイプ2と異なるものの、やり取りを続けた結果、送金に誘導された被害が報道されていると注意を呼びかけています。

訓練での再現のしかた

BECを想定した訓練では、リンクのクリックよりも「依頼に応じてしまうか」「確かめてから動けるか」を見ることが中心になります。訓練メールには実在の口座番号などは入れず、返信や報告の行動を記録する形にします。

件名と本文の要素

• 件名：社名だけ、または「至急」「ご相談」「お支払い先変更のお知らせ」のような短い型
• 差出人：自社の社長・役員の名前、または取引先の担当者の名前を表示名に使う
• 本文：「急ぎ」「ほかの人には内密に」と急がせる、振込先の変更やグループ作成を求める
• 返信先：差出人の表示名と実際のアドレスが違う

文面の型の考え方は「訓練メールの文例・件名の作り方」も参考にしてください。経営者の名前を使う訓練は、事前に経営層の了解を取っておきましょう。

訓練で身につけたい行動

IPAと警察庁の呼びかけをもとに、次の行動を訓練の目標にします。

• 振込先の変更や急な送金の依頼は、メールに返信せず、ふだんから使っている電話番号など別の方法で相手に確かめる
• 差出人の表示名だけで判断せず、実際のアドレスやドメイン名を確かめる
• SNSのグループの作成を指示されたら、応じる前に周囲に相談する
• 不審なメールは、社内のルールに従って担当部署へ報告する

IPAは、送金の業務は複数人で審査・承認し、一人で判断を完結させない流れを作ることも対策に挙げています。警察庁も、この種の事案を社内で共有することと、送金に関するルールを再確認することを呼びかけています。訓練とあわせて、経理の承認ルールも見直しておきましょう。報告を増やす工夫は「不審メールの報告が上がらない組織の対策」で解説しています。

選ぶときに見る点

BECを想定した訓練をしたい場合は、次の点を確認してサービスを選びます。

• 返信を記録できるか：リンクや添付ファイルがないメールでも、訓練メールに返信したかどうかを記録できるか
• 差出人の表示を変えられるか：表示名を社内の役職者や取引先の担当者にした訓練メールを作れるか
• 対象を絞れるか：経理・財務など、狙われやすい部署だけに配信できるか
• 文面を自社で作れるか：自社の取引や業務に近い文面を作れるか
• 報告の集計：不審なメールを報告した人を記録・集計できるか

各サービスの対応状況は比較表で確認できます。

まとめ

• BECは、取引先や経営者になりすまして送金させる詐欺で、IPAは「請求書の偽装」と「経営者等へのなりすまし」の2つのタイプを多く確認しています
• 取引先のアカウントの乗っ取りによる被害や、LINEグループの作成を指示するメールによる手口が、IPAと警察庁から公表されています
• 訓練では、「別の方法で確かめる」「表示名だけで信じない」「すぐ報告する」を身につけ、送金の承認ルールもあわせて見直します
• サービスは、返信の記録、差出人の表示の変更、配信対象の絞り込み、報告の集計ができるかで比べましょう