【図解】ビジネスメール詐欺（BEC）とは？5つの手口と組織で取り組むべき6つの対策
「ビジネスメール詐欺（BEC：Business Email Compromise）」とは、メールのなりすまし等のサイバー攻撃手法を用い、巧妙に細工されたメールによって企業の担当者を騙し、攻撃者が用意した偽の口座へ送金させる詐欺手口のことです。
攻撃者は、事前に企業内の従業員情報を狙ったり、情報を窃取するウイルス（マルウェア）を悪用したりして準備を進めます。そのため、システムやセキュリティソフトによる機械的な防御だけでは偽メールを完全に排除することが難しく、被害の抑止を困難にしています。
日本国内においても、古くは2017年12月に国内大手航空会社が約3.8億円の詐欺被害に遭った衝撃的な報道をはじめ、2018年7月には国内で関与した容疑による逮捕者が発生するなど、当時から現在に至るまで決して他人事ではない差し迫った脅威となっています。
下図は、IPA（独立行政法人 情報処理推進機構）が注意喚起とともに公開しているレポート「ビジネスメール詐欺『BEC』に関する事例と注意喚起」で解説されている“ビジネスメール詐欺の5つのタイプ”をまとめたものです。
ビジネスメール詐欺は技術的な対策だけでは防ぎきれないため、一人ひとりが手口を正しく理解し、“怪しさ”を見抜く組織体制を整えることが重要です。本資料が、貴社のビジネスメール詐欺対策の参考となれば幸いです。
この記事で解決できること
- ビジネスメール詐欺（BEC）の基本的な仕組みと恐ろしさがわかる
- IPAが定義する「5つの詐欺タイプ」を具体的な手口とともに理解できる
- 技術的な対策だけでは防げない巧妙な「心理戦」への心構えができる
- 組織全体で今すぐ取り組むべき「6つの具体的な防御策」が実践できる
※画像クリックでPDF資料が表示されます
ビジネスメール詐欺の5つのタイプ
IPAの公開資料では、ビジネスメール詐欺の手口を主に以下の5つのタイプに分類しています。
タイプ1：取引先との請求書の偽装
「偽の請求書詐欺」「サプライヤー詐欺」などと呼ばれます。日頃からメールで請求書のやりとりを行っている取引先になりすまし、攻撃者の口座に差し替えた偽の請求書を送りつけて振り込ませる手口です。攻撃者は事前に何らかの方法でメールを盗聴し、取引内容や担当者の氏名・メールアドレスを綿密に調べ上げているケースがあります。
タイプ2：経営者等へのなりすまし
「CEO詐欺」「企業幹部詐欺」などと呼ばれます。本物の経営者や役員になりすましたメールを従業員に送り、極秘プロジェクトなどを口実に、攻撃者が用意した口座へ至急振り込むよう指示する手口です。事前に役員のメールアドレスや口調などを調査し、巧妙に偽装されています。
タイプ3：窃取メールアカウントの悪用
従業員の実際のメールアカウントを何らかの方法で乗っ取り、そのアカウントを使って、過去に取引実績のある別企業の担当者へ偽の請求書等を送りつける手口です。受信側からは「正当な取引相手からの、正しいメールアドレスによる連絡」に見えるため、偽メールであることを見抜くのが非常に困難です。
タイプ4：社外の権威ある第三者へのなりすまし
弁護士や法律事務所、コンサルタントなど、社外の権威ある第三者になりすます手口です。企業の財務・経理担当者などに対して、法的問題の解決や機密性の高い取引を装い、指定の口座へ振り込みを要求します。
タイプ5：詐欺の準備行為と思われる情報の詐取
このタイプは金銭を直接詐取するのではなく、将来的な詐欺（タイプ1〜4）を成功させるための情報収集を目的とした攻撃です。従業員の連絡先リストや社内組織図、業務フローなどの情報が窃取され、別の高度なサイバー攻撃に悪用されます。
ビジネスメール詐欺を防ぐための対策
ビジネスメール詐欺は巧妙な心理戦を交えた攻撃であり、「自社のどの従業員が、いつ狙われるか」を予測することはできません。そのため、手口を正しく理解し、組織全体のセキュリティ意識を高めることが不可欠です。
以下に挙げる対策は、単体で実施するのではなく、送金前のチェック体制強化などと組み合わせた「多層防御（複数の防御層）」として運用することをおすすめします。
対策1：取引先との「メール以外」の方法による事実確認
「振込先口座の変更」など、通常とは異なる急な対応を求められた場合は、鵜呑みにせず、必ず電話やFAXなどメール以外のルートで取引先に事実確認を行ってください。その際、届いたメールに記載されている連絡先（電話番号など）へは絶対に連絡せず、あらかじめ社内で管理している信頼できる連絡先を使用することが鉄則です。
対策2：社内規程の整備とチェック体制の徹底
「口座変更の際はメール以外の方法で確認する」といった具体的な手順を、電信送金に関する社内規程（業務マニュアル）に明文化することが重要です。また、送金手続きの際は複数の担当者や上司による承認を必須とするなど、ダブルチェック体制を徹底することも有効な防御策となります。
対策3：不審と感じた場合の組織内外での情報共有
担当者が「おかしい」と気づいた段階で、速やかに情報セキュリティ部門や社内に報告・共有できる体制（相談窓口）を整えておくことが重要です。不審メールの情報を集約することで、他の従業員への被害拡大を防ぎ、組織全体での注意喚起につなげることができます。
対策4：ウイルス対策・不正アクセス対策の徹底
詐欺メールが届く前段階で、すでにメールアカウントが乗っ取られていたり、メール内容が盗み見られている可能性があります。「不審な添付ファイルやURLは開かない」「セキュリティソフトを導入し最新に保つ」「OSやアプリの修正プログラム（アップデート）を速やかに適用する」といった、基本的なウイルス・不正アクセス対策を徹底してください。
対策5：電子署名（S/MIME）などの付与
取引先との間で請求書などの重要情報をメールで送受信する際は、メールに電子署名を付与する、あるいは暗号化通信を導入するなど、送信元の正当性を証明し「なりすまし」や「改ざん」を防止する技術的対策も有効です。
対策6：類似ドメイン（なりすましドメイン）の定期調査
攻撃者は、自社のドメイン名に酷似した文字（例：lと1、oと0の入れ替えなど）を使った「詐称用ドメイン」を取得し、取引先へアプローチをかけることがあります。自組織を詐称するフィッシング攻撃への対策としても、定期的に類似ドメインが取得されていないかを調査し、必要に応じて注意喚起や法的措置をとる検討が望まれます。
まとめ：人と組織の「多層防御」でBECを防ぐ
ビジネスメール詐欺（BEC）は、高度なサイバー技術だけでなく、人間の心理的な隙や業務フローの盲点を突く極めて巧妙な攻撃です。システムによる機械的なブロックには限界があるため、最終的な防波堤となるのは「従業員一人ひとりの意識」と「組織的なチェック体制」に他なりません。
不審な口座変更の要求にはメール以外の手段で事実確認を行うこと、そして異変に気づいた際にすぐに相談できる風通しの良い環境を作ることが、巨額の被害から自社を守る第一歩となります。
💡 組織のセキュリティ意識を高めるために
ビジネスメール詐欺の脅威から組織を守るためには、経営層から現場の担当者までが最新の手口と対策を正しく理解しておく必要があります。
「どのような教育を行えばいいか分からない」「全社的なセキュリティ意識を底上げしたい」という企業様に向けて、当ストアでは以下の教育教材をご用意しています。
- 情報セキュリティの基礎学習はもちろん、ISMS（ISO27001）の運用や新入社員・中途採用向けの教育にそのまま使える実践的なテキスト集です。
- 理解度を測定できる「情報セキュリティ確認テスト問題集（805問）」も収録しており、形骸化しがちな社内教育を実効性のあるものへと変えることができます。
自社の情報資産と信用を守るための組織づくりに、ぜひご活用ください。
