2026年4月、インターネットサービス大手のはてなが、最大約11億円の資金が会社の口座から外部に流出したと公表した。同社が1年かけて稼ぐ営業利益（約1.4億円）で換算すれば、およそ8年分にあたる金額が、たった2日のあいだに口座から消えたことになる。

驚くべきは、はてなの公表内容を見る限り、コンピューターウイルスもサイバー攻撃らしい不正アクセスも使われていないことだ。会社の従業員が、いつも通りのパソコンで、いつも通りのIDとパスワードで、自分の意思で振り込み手続きをしていた。

人間がだまされて、正規のやり方で送金してしまう。これが、2025年から2026年にかけて急増している企業向け不正送金の正体である。

関連記事：国生さゆりの元夫・甲田英司容疑者が3度目の逮捕　ポケモンカード詐欺

2025年のインターネットバンキング不正送金被害は過去最悪

警察庁のまとめによれば、2025年のインターネットバンキングを使った不正送金の被害は103億9700万円と過去最悪を更新し、そのうち約45%（47億円）が法人の被害だった。

上場企業の公表事例だけを見ても、はてな（最大11億円）、金融メディア運営のZUU（9600万円）、仮設資材の信和の子会社（約2億5000万円）、観光予約のベルトラの子会社（約5000万円）など、判明分の被害総額は約15億円を超える。

中小企業の被害も深刻だ。長野県飯田市の製造業が約2950万円（2025年12月）、岐阜県多治見市の会社が約1億円（2026年1月）、千葉県船橋市の会社が約5,000万円（2026年2月）を相次いで失っている。警察庁は2026年2月にいわゆる「ニセ社長詐欺」への注意喚起を出し、東京都内だけでも43社で確認、うち14社で合計6億7000万円の実被害が発生したと公表した。

メールからLINEやチャットへ…巧妙化する手口

一言で「不正送金」といっても、手口は大きく3つに分けられる。人をだまして正規ルートで送金させるBEC・CEO詐欺（本記事の主題）、端末を乗っ取って送金させるサポート詐欺、電話で認証情報を聞き出すボイスフィッシングだ。以下、それぞれ簡単に触れる。

最近特に目立つ手口の一つが、最初はメールでも、決定的な指示をLINEやChatworkといった社内チャットに移すパターンだ。とはいえメールだけで完結する古典的なBEC（取引先を装った「振込先口座が変わりました」メールや、社長を装った「至急この口座に振り込んでくれ」メール等）も依然として多く、チャットに移らないからといって安心はできない。

典型的なパターンはこうだ。経理担当者のところに、社長や役員の名前で「業務でLINEグループを作ってほしい」「今会社にいる？」といった短いメールが届く。応じてグループを作ると、社長を装った相手から「機密の支払いがある。至急、この口座に振り込んでくれ」と指示される。社長との直接のやりとりに見えるため、担当者は信じて振り込んでしまう。トレンドマイクロは2026年2月時点で、国内6000社超に偽メールが送付されていることを確認している。

「人をだまして正規ルートで送金させる」攻撃とは少し性質が異なるが、関連する手口として近年急増しているのが「サポート詐欺」型である。信和の子会社の事案では、業務用パソコンに突然「ウイルスに感染しました」という偽の警告画面が出て、画面に表示された電話番号にかけたところ、「サポートのため」と言われて遠隔操作ソフトを複数インストールさせられた。攻撃者は遠隔でパソコンを操作し、保存されていたインターネットバンキングのIDとパスワードを使って約2億5000万円を送金した。

さらに、銀行のヘルプデスクを装った電話で認証情報を聞き出す「音声を使ったフィッシング詐欺」もあり、特に地方銀行の法人口座を狙ったこの手口で、2025年1〜3月の地方銀行の被害額は前年同期の約120倍に膨らんだ。

LINEへ誘導するメール

「多要素認証」も「担当者の分離」も突破される理由

多くの読者は疑問に思うはずだ。多要素認証（パスワードに加えてスマホ確認などを組み合わせる仕組み）を入れていれば防げるのではないか。振り込み手続きをする人と、それを承認する人を別にしておけば大丈夫ではないかと。

残念ながら、これらは必要だが十分ではない。なぜなら、最近の被害はすべて「本物の従業員が、本物の認証を通って、社内ルール通りに」送金しているからだ。攻撃者が破っているのは認証システムではなく、人間の判断と社内ルールそのものなのである。

以下のいずれかに当てはまる送金指示は、それだけで一度立ち止まる価値がある。

・件名や本文が異様に短い（「今会社にいる?」「お疲れ様」だけ等）

・いつもメールで来ていた指示が、急にLINEやChatwork、SNSに移る

・「至急」「極秘」「他言無用」「私は会議中で電話に出られない」が重なる

・いつもの取引先からの「振込先口座が変わりました」

・メールアドレスのドメインが似ているが1文字違う（例：company.co.jp → cornpany.co.jp）※利用しているメールサービスによっては、メールアドレスが全く同じでも信用してはいけない場合もある

・海外口座への送金指示、または初めて取引する相手への高額送金

・業務用パソコンに突然出る「ウイルス感染」警告と電話番号

迷ったら振り込まない。振り込まずに、知っている番号に電話する。これだけ覚えておけば、被害の大半は防げる。

振り込ませないための5つの守り

1.振り込み依頼の入口を一本化し、「特例」を作らない

最も重要な対策がこれだ。振り込み依頼は、社内で決めた経路（社内システム、所定の依頼書、特定のメールアドレス等）からしか受け付けない、と社内ルールで定める。社長や役員からの直接の口頭・LINE・個別メール依頼は、相手が本物の社長であっても受け付けない。そして、この「特例なし」を経営者自身が宣言する。

今回のBEC被害企業の多くは、「社長案件」「極秘M&A」「至急の支払い」という特例フレーミングでルールを飛び越えさせられている。逆に言えば、特例を作らない会社にはこの攻撃は通用しない。

2.いつもと違う連絡経路で来た指示は、それだけで疑う

普段はメールで来る指示が、突然LINEやChatworkに移ったら、それは指示の内容にかかわらず警戒信号である。「便利だから」「急ぎだから」という理由で連絡手段を変える依頼には応じない、と決めておく。

3.取引先の振込先口座の変更依頼は無条件で別経路で確認

「振込口座が変わりました」というメールは、BECの最も古典的な入口である。たとえ普段やりとりしている担当者の名前でも、口座変更の依頼は無条件で別ルート（電話、対面）で本人に確認する。これも、メールに書かれた電話番号は使わない。

4.こんな送金は「折り返し電話」で本人確認を

毎回の振り込みで必ず電話確認するのは現実的でない。重要なのは、「いつもと違う」要素が1つでもあれば止めて折り返す、というシンプルな基準を社内で共有することだ。具体的には以下のいずれかに該当する送金指示は、振込前に必ず電話で発信者本人に確認する。

・振込先口座が変更された、または初めて使う口座への振込

・普段取引のない相手への新規振込

・普段より金額が大きい（例：1回30万円超、または月間累計100万円超など、社内で基準額をあらかじめ決めておく）

・普段と違う経路（メールではなくチャット、SNS、口頭等）で来た指示

・「至急」「極秘」「他言無用」「私は会議中で電話に出られない」などの圧力が含まれる指示

・海外口座への送金

確認の電話をかける先は、名刺や社内連絡先に登録された、もともと知っている番号。メールやチャットの本文に書かれた電話番号は使ってはいけない。攻撃者が偽の番号を書いているからだ。 今回の多くの被害企業は、この一手間を省いていた。

5.「相談できる人」を1人決めておく

中小企業がフルタイムの情報セキュリティ担当者を置くのは難しい。現実的には、「不審な指示を受けたら、振り込む前に必ず相談する1人」を社内で決めておく。経理部長でも、総務責任者でも、経営者本人でも構わない。その担当者は、以下の連絡先を自分のスマートフォンと机に貼っておく。

・IPA（情報処理推進機構）情報セキュリティ安心相談窓口

・警察相談専用電話 #9110

・取引銀行の不正利用通報窓口（平時に電話番号を確認しておく）

「振り込みを止めた」は対策が機能している証拠

ここまでの対策の多くは、現場の経理担当者が自分の判断で実行するものだ。しかし、現場の判断は経営者の態度で決まる。「振り込みを止めた」「念のため社長に確認の電話をした」という事案が出てきたら、それは対策が機能している証拠であり、煩わしがるべきことではない。社長が振り込み指示してきたのに、確認のため電話してきた経理担当者を煩わしがった瞬間、その会社は次のはてなになる。

2024年に公表されたミロク情報サービスの「中小企業の経理担当者の働き方＆実務の困りごと実態調査」によれば、従業員9人以下の企業では経理担当者が「1人」の企業が63.4％、10〜49人の企業でも30.7％。年商で見ても、5千万円未満の企業では94.7％、10〜20億円未満でも約2割が経理1人体制で運営されている。中小企業ほど、経理が1人で振り込み実行まで完結する構造が一般的、ということだ。

もちろん経理が1人でも、振り込み時に社長や別部署が承認者として入っていれば最低限の統制は働く。逆に言えば、「経理担当者が1人で、その1人が振り込み実行までできてしまう」体制こそが、今回の一連の事件で最も狙われている弱点である。担当者がだまされた瞬間、止める仕組みが何もない。

コストゼロでできる最初の一歩は、少なくとも「いつもと違う」送金については、振込ボタンを押す前に経理担当者から別の人（経営者でも別部署の誰でもよい）に一声かけ確認を取るルールを、今日決めることである。普段通りの取引まで一律に確認を強いるのは現実的でないが、「いつもと違う要素が1つでもあれば一旦止める」という最低限の関所を1つ設けるだけで、今回の被害の多くは防げた。

これらの詐欺は、人の善意や緊張感に最適化されている。「至急」「極秘」「社長命令」という圧力で、確認のひと手間を省かせる設計になっている。だから、個人の注意力に頼った対策は必ず破られる。必要なのは、判断を個人に委ねない仕組みだ。

社内用チェックリストを

最後に、本記事で挙げた対策を社内ですぐ動かすためのチェックリストを置いておく。

・振り込み依頼の受付経路を1つに決める（社内システム・所定の依頼書など）

・取引先からの口座変更依頼は、必ず別経路（電話・対面）で確認する

・新規口座・高額・海外送金は、必ず2人以上で確認する

・社長や役員からの直接のLINE・個別メール指示でも、例外にしない

・「止めた事案」は、対策が機能した証拠として受け止める

万が一被害が発覚した場合は、取引銀行の不正利用通報窓口と最寄りの警察に直ちに連絡する。ただし夜間・休日は即時の口座凍結や組戻し（取り消し依頼）が難しい場合が多く、海外送金は数時間で資金が消える。だからこそ、事後対応より「振り込ませない」体制づくりが何より重要である。

2026年、振り込め詐欺の主戦場は、個人だけでなく企業にも本格的に広がった。狙われているのは技術ではなく、組織の判断プロセスそのものである。

文/山本晃 内外タイムス

なりすましメールが増えている