請求書・振込先変更メールを疑うルール：ビジネスメール詐欺を中小企業で防ぐ

取引先から、いつもの請求書が届いた。
ただし、今回は「振込先口座が変わりました」と書かれている。

社長から、急ぎの送金依頼メールが届いた。
「秘密の案件なので、他の社員には言わないでほしい」と書かれている。

海外取引先から、支払条件や決済手段の変更連絡が届いた。
メールの文面は自然で、過去のやり取りにもつながっている。

このようなメールを見たとき、経理担当者や総務担当者はどう対応すべきでしょうか。

結論から言えば、振込先変更、決済手段変更、緊急送金、秘密案件をメールだけで処理してはいけません。

ビジネスメール詐欺は、単なる迷惑メールとは違います。
取引先や経営者になりすまし、実際の業務メールに入り込むように見せかけ、偽の口座へ送金させる手口です。

IPAの「情報セキュリティ10大脅威 2026」では、組織向け脅威の10位に「ビジネスメール詐欺」が挙げられています。これは、2018年の初選出以降、9年連続9回目の選出です。

この記事では、中小企業がビジネスメール詐欺を防ぐために、請求書・振込先変更メールをどのように疑い、どのような社内ルールを作ればよいかを整理します。

ビジネスメール詐欺とは

ビジネスメール詐欺は、取引先や経営者などになりすましたメールを使い、偽の銀行口座へ送金させる詐欺です。

IPAは、ビジネスメール詐欺の主なパターンとして、取引先との請求書を偽装するタイプと、経営者等になりすますタイプを紹介しています。取引先との請求に関するやり取りの中で、攻撃者が取引先になりすまし、攻撃者が用意した口座へ差し替えた偽の請求書等を送り付けるケースがあります。また、経営者や企業幹部になりすまし、財務・経理担当者などに送金させるケースもあります。

ビジネスメール詐欺が厄介なのは、次のような特徴があるためです。

特徴	内容
業務メールに見える	請求書、見積書、支払条件、送金依頼など、日常業務に紛れて届く
取引のタイミングを狙う	実際の請求・支払時期に合わせて送られることがある
文面が自然な場合がある	過去のやり取りや担当者名を踏まえた文面に見えることがある
表示名だけでは判断できない	メールの表示名は本物でも、実際のメールアドレスが異なる場合がある
メール以外の確認を避けさせる	「急ぎ」「秘密」「電話しないで」などの理由で確認を妨げる

警察庁も、攻撃者が振込先変更に関するメールをタイミング良く送付したり、メールの体裁を本物と同じように作成したりすることがあるため、普段のメールのやり取りを盗み見ている可能性があると注意喚起しています。

狙われるのは経理担当者だけではない

ビジネスメール詐欺では、経理・財務部門が特に注意すべき対象です。
しかし、狙われるのは経理担当者だけではありません。

IPAのFAQでは、金銭の受け渡しに関する意思決定が可能な経営層、取引先と送金に関するやり取りを行う担当者、実際に金銭手続きを行う経理・財務部門が注意すべき対象とされています。また、支払う側だけでなく、請求する側も攻撃対象になるとされています。

中小企業では、次のような人が対象になりやすいです。

対象者	狙われる理由
代表者・役員	「社長指示」を装うメールに使われやすい
経理担当者	振込、支払、請求書処理を担当している
総務担当者	取引先情報、契約書、請求書を扱うことがある
営業担当者	取引先との請求・納品・契約連絡をしている
海外取引担当者	英文メール、海外送金、時差対応で確認が難しい場合がある
Web・EC担当者	決済、入金、顧客対応の連絡を受けることがある

特に中小企業では、1人が営業、請求、入金確認、取引先対応を兼ねていることがあります。
そのため、「経理だけ教育すればよい」では不十分です。

まず決めるべき基本ルール

ビジネスメール詐欺対策で最も重要なルールは、次の一文です。

振込先変更・決済手段変更・緊急送金は、メールだけで承認しない。

警察庁は、送金に関するメールを受信した場合、送信元とされている取引先担当者に、電話やFAXなどメール以外の方法で送金内容を確認するよう案内しています。その際、メールに記載された電話番号などは偽装されている可能性があるため、名刺や自分のアドレス帳などに載っている連絡先を使う必要があります。

IPAも、急な振込先や決済手段の変更等が発生した場合は、取引先へメール以外の方法で確認することを対策として示しています。

したがって、中小企業では次のルールを社内で明文化することをおすすめします。

ルール	内容
メールだけで振込先変更を承認しない	どれだけ自然な文面でも、メールだけで処理しない
登録済み連絡先で確認する	メール本文や署名欄に書かれた電話番号を使わない
2名以上で確認する	担当者1人だけで判断しない
変更確認票を残す	誰が、いつ、どの連絡先で確認したか記録する
急ぎでも例外を作らない	「今日中」「秘密」「社長指示」でも確認手順を省略しない
違和感があれば社内共有する	1人だけで抱え込まず、経理・総務・代表者へ報告する

「信頼している取引先だから大丈夫」ではなく、信頼している取引先を装われるから危険だと考える必要があります。

危険なメールの典型例

次のようなメールは、特に注意が必要です。

メールの内容	注意点
今回から振込先口座が変わりました	最も典型的な危険パターン
請求書を差し替えました	添付ファイルや口座情報の改ざんに注意
いつもの口座ではなく、こちらへ振り込んでください	一時的・例外的な口座変更を装う
急ぎで本日中に送金してください	冷静な確認をさせないための圧力
社長の指示です	経営者なりすましの可能性
秘密案件なので他部署に確認しないでください	相談・承認を妨げる典型的な表現
電話が使えないのでメールで対応してください	メール以外の確認を避けさせようとしている可能性
海外口座に変更してください	資金回収が難しくなる可能性がある
支払条件・決済手段を変更します	口座変更以外の形で詐欺が行われる場合がある
返信先だけがいつもと違う	表示名が同じでもメールアドレスが違う場合がある

IPAのFAQでも、突然の振込先変更、決済手段変更、急な対応を促す請求・送金依頼メールは、ビジネスメール詐欺ではないかよく確認することが勧められています。また、メールで違和感を解消しようとすると、攻撃者が嘘で取り繕うこともあるため注意が必要です。

表示名ではなくメールアドレスを見る

メールソフトでは、送信者欄に「株式会社〇〇」「山田太郎」などの表示名だけが見えることがあります。

しかし、表示名は偽装される可能性があります。
本当に確認すべきなのは、実際のメールアドレスです。

例えば、次のような違いに注意します。

正規の例	偽装の例
yamada@example.co.jp	yamada@example-co.jp
accounting@example.com	accountlng@example.com
info@abc-corp.jp	info@abc-corp.com
yamada@customer.jp	yamada.customer@gmail.com

警察庁は、送金先変更や緊急送金に関するメールを受け取った場合、送信元メールアドレスをよく確認するよう注意喚起しており、本来のメールアドレスによく似たメールアドレスに偽装されている場合があるとしています。

ただし、メールアドレス確認だけで安全と判断してはいけません。
本物のメールアカウントが乗っ取られている場合、正規アドレスから詐欺メールが送られる可能性もあります。

そのため、最終的にはメール以外の方法で確認することが必要です。

「電話確認」のやり方にもルールが必要

「電話で確認してください」と言うだけでは不十分です。

なぜなら、攻撃者がメール本文や署名欄に偽の電話番号を書いている可能性があるからです。

電話確認では、次のルールを決めます。

確認項目	ルール
使う電話番号	名刺、契約書、過去に登録した取引先台帳、自社のアドレス帳にある番号を使う
使わない電話番号	今回届いたメール本文、署名欄、添付請求書に初めて記載された番号は使わない
確認相手	いつもの担当者、または取引先の代表番号からつながる部署に確認する
確認内容	口座変更の有無、変更日、口座名義、対象請求書、変更理由
記録	確認日時、確認者、相手方、使用した電話番号、確認結果を記録する

警察庁も、送金内容をメール以外で確認する際には、メールに記載された連絡先ではなく、名刺や自分のアドレス帳などに載っている連絡先を使うよう案内しています。

電話確認の記録は、後から「本当に確認したか」を説明するための証跡になります。
前回までの記事で扱ってきた「証跡ファイル」に、振込先変更確認票として保管するとよいでしょう。

振込先変更確認票のサンプル

中小企業では、まず次のような簡単な確認票で十分です。

項目	記入内容
確認日	2026年5月19日
取引先名	株式会社〇〇
請求書番号	INV-2026-0519
請求金額	〇〇円
変更前口座	〇〇銀行〇〇支店普通〇〇
変更後口座	〇〇銀行〇〇支店普通〇〇
変更連絡の受信方法	メール、電話、郵送など
メール送信元	表示名、実メールアドレス
確認に使った連絡先	取引先台帳の代表番号、名刺の電話番号など
確認相手	部署、氏名
確認結果	本当に変更あり／変更なし／確認保留
社内確認者	経理担当、上長、代表者など
承認者	代表者、経理責任者など
証跡	メール、請求書、通話メモ、承認記録
備考	不審点、追加確認事項

この確認票の目的は、書類を増やすことではありません。
支払前に一度立ち止まり、メール以外の経路で確認し、担当者1人の判断にしないことです。

社内承認ルールを金額別に分ける

すべての支払について同じ重さの承認を求めると、実務が回らなくなる場合があります。
そのため、金額やリスクに応じて承認ルールを分けると運用しやすくなります。

区分	例	推奨ルール
通常支払	既存口座、通常金額、定例請求	通常の支払承認で処理
振込先変更	既存取引先だが口座変更あり	メール以外で確認、2名承認、確認票保存
高額支払	一定金額以上	代表者または経理責任者承認
海外送金	海外口座、外貨送金	取引先台帳・契約書・代表番号で再確認
緊急送金	本日中、即時、秘密案件	原則として例外扱いせず、通常より厳格に確認
新規取引先	初回請求、初回口座登録	取引開始時の本人確認、契約書、口座確認を実施

重要なのは、「急ぎだから確認を省く」のではなく、急ぎだからこそ不正を疑うという考え方です。

経営者なりすましへの対応

ビジネスメール詐欺では、取引先だけでなく、自社の代表者や役員になりすますケースもあります。

例えば、次のようなメールです。

今から重要な買収案件の支払いを行う必要がある。
秘密案件なので、他の社員には共有しないでください。
すぐにこの口座へ送金してください。

このようなメールを受け取った場合、経理担当者は「社長からの指示だから」と考えてしまうかもしれません。

しかし、IPAは、攻撃者が経営者や企業幹部になりすまし、従業員に攻撃者の用意した口座へ振り込みをさせるタイプを紹介しています。攻撃先として、財務・経理担当者など金銭管理を行う部門が狙われる傾向があるとされています。

経営者なりすまし対策として、次のルールを決めます。

ルール	内容
社長メールだけで送金しない	代表者名義のメールでも、送金処理には通常の承認手順を適用する
秘密案件でも例外を作らない	「誰にも言うな」は危険サインとして扱う
役員確認の別経路を用意する	代表者の携帯番号、社内チャット、対面確認など
高額・緊急送金は複数承認にする	代表者＋経理責任者など
事後承認を禁止する	送金後に承認を取る運用は避ける

経営者側も、「自分の名前を使ったメールが来たら、必ず確認してよい」と従業員に伝えておく必要があります。
経理担当者が社長に確認しにくい雰囲気があると、詐欺に利用されやすくなります。

取引先との情報共有も重要

ビジネスメール詐欺は、自社だけで完結しません。

自社のメールアカウントが盗み見られている場合もあれば、取引先側のメールアカウントが侵害されている場合もあります。
また、自社を装ったメールが取引先に送られることもあります。

IPAは、ビジネスメール詐欺が疑われる場合、取引先になりすましたメールであれば、電話やFAXなどメールとは異なる手段で事実確認することを勧めています。また、不審なメールの情報を集約・周知することで、他の担当者に届いた攻撃メールに気づける可能性があると説明しています。

取引先と事前に決めておくとよい事項は、次のとおりです。

項目	内容
振込先変更時の連絡方法	メールだけでなく、代表番号への電話確認を必須にする
緊急連絡先	メール障害・不正メール発生時の電話番号、担当部署
請求書の送付方法	請求書発行システム、郵送、電子契約等の利用
口座変更通知の形式	会社印、担当部署、確認可能な文書、事前通知
不審メール発生時の連絡	どちらが誰に連絡するか
メール以外の確認経路	電話、FAX、取引先ポータル、契約書記載の連絡先

取引先の手間を増やすように見えるかもしれません。
しかし、偽口座へ送金してしまえば、双方に大きな損害と混乱が生じます。

技術対策も必要

ビジネスメール詐欺は、人を騙す手口です。
そのため、教育や承認ルールが重要です。

ただし、技術対策も欠かせません。
メールアカウントが盗み見られたり、不正な転送設定を入れられたりすると、攻撃者が本物の業務メールに入り込むような形で詐欺を仕掛ける可能性があるからです。

IPAは、ビジネスメール詐欺対策として、ウイルス・不正アクセス対策、セキュリティソフトの導入と最新化、メールアカウントの複雑なパスワード設定、パスワード使い回しの禁止、メールシステムでの多要素認証やアクセス制限の検討を挙げています。

中小企業で優先すべき技術対策は、次のとおりです。

対策	内容
メールの多要素認証	Microsoft 365、Google Workspace等の管理者・経理担当者から優先
パスワード使い回し禁止	メールと他サービスで同じパスワードを使わない
不正な転送設定の確認	外部アドレスへの転送、見慣れない振り分けルールを確認
ログイン履歴の確認	海外IP、不審な時間帯、見慣れない端末からのアクセスを確認
退職者アカウント削除	以前の記事で扱った月次棚卸と連動させる
OS・ソフト更新	PC、ブラウザ、メールソフトを最新に保つ
ウイルス対策	セキュリティソフトやEDR等の導入・更新
管理者権限の制限	メール管理者、SaaS管理者を必要最小限にする
請求書システムの利用	メール添付だけに依存しない運用を検討する

IPAのFAQでは、メールアカウントに不正な転送設定を行い、メールを攻撃者へ転送して盗み見る手口も考えられるとされています。また、普段見ないフォルダへの振り分け設定や外部へのメール転送設定を調査することで、気づくことができる場合があると説明されています。

メール転送設定の確認ポイント

メールアカウントが侵害された場合、攻撃者はメールを盗み見るために転送設定や振り分けルールを設定することがあります。

経理、総務、営業、代表者のメールについて、次の点を定期的に確認しましょう。

確認項目	内容
外部転送	見覚えのない外部メールアドレスへ自動転送されていないか
振り分けルール	請求、支払、送金、銀行、invoice等のメールが隠しフォルダへ移動されていないか
迷惑メール設定	正規の取引先メールが不自然に迷惑メール扱いされていないか
代理アクセス	他ユーザーにメールボックスアクセス権が付与されていないか
アプリ連携	不審な外部アプリがメールにアクセスしていないか
ログイン履歴	普段と異なる国、時間帯、端末からのログインがないか
MFA状態	多要素認証が有効か、例外ユーザーがないか

これは、前回までの記事で扱ったSaaS・クラウド台帳、退職者アカウント棚卸と連動させると管理しやすくなります。

支払前チェックリスト

経理・総務で使える支払前チェックリストの例です。

No	チェック項目	確認
1	請求書の送信元メールアドレスは過去の取引と一致しているか	□
2	表示名だけでなく、実際のメールアドレスを確認したか	□
3	振込先口座が過去と同じか	□
4	振込先変更がある場合、メール以外で確認したか	□
5	確認に使った電話番号は、メール本文や署名欄ではなく、取引先台帳・名刺・契約書等の番号か	□
6	口座名義、銀行名、支店名、口座番号を読み合わせたか	□
7	請求金額、請求書番号、対象取引を確認したか	□
8	急ぎ、秘密、社長指示、電話不可などの表現がないか	□
9	2名以上で確認・承認したか	□
10	確認票、通話メモ、メール、請求書を保存したか	□
11	不審点がある場合、社内共有したか	□
12	必要に応じて取引先へ注意喚起したか	□

このチェックリストは、すべての請求書に使う必要はありません。
まずは、振込先変更、新規取引先、高額支払、海外送金、緊急支払に限定して使うと始めやすいです。

不審メールを受け取ったときの対応

支払前に不審なメールに気づいた場合は、次の順番で対応します。

順番	対応	注意点
1	メールに返信しない	返信すると攻撃者に確認行動を知られる可能性がある
2	添付ファイルやリンクを開かない	マルウェア感染や認証情報窃取の可能性がある
3	メールを削除しない	証跡として保存する
4	社内の責任者へ報告する	経理責任者、総務、代表者、情報システム担当へ共有
5	登録済み連絡先で取引先へ確認する	メール本文の連絡先は使わない
6	関係者へ注意喚起する	同じ手口のメールが他の社員に届いている可能性がある
7	メールアカウントの確認を行う	不正ログイン、転送設定、振り分けルールを確認
8	必要に応じて保守会社・専門家へ相談する	ログ確認や原因調査が必要な場合

IPAは、ビジネスメール詐欺が疑われるメールを受信した場合、信頼できる方法で入手した連絡先を使って、電話やFAXなどメールとは異なる手段で取引先に確認することを勧めています。また、少しでも違和感がある場合は、適切な部門へ報告し、不審メール情報を集約・周知することが重要とされています。

送金してしまった場合の対応

万が一、偽口座へ送金してしまった場合は、時間との勝負になります。

IPAは、偽の口座へ送金してしまった場合、送金に利用した銀行へ早期に送金のキャンセルや組み戻し手続きを依頼するよう案内しています。また、資金が回復できるとは限らないものの、送金後すぐに銀行へ連絡することは有効な手段とされています。

送金後に気づいた場合の初動は、次のとおりです。

順番	対応	内容
1	銀行へ連絡	送金キャンセル、組み戻し、口座凍結の可否を確認
2	代表者・責任者へ報告	金額、口座、時刻、経緯を共有
3	警察へ相談	攻撃者からのメール等を持参し、最寄りの警察署へ相談
4	証跡保存	メール、メールヘッダ、請求書、振込記録、承認記録を保存
5	取引先へ確認	メール以外の経路で、取引先にも確認と証跡保存を依頼
6	メールアカウント調査	不正ログイン、転送設定、マルウェア感染を確認
7	再発防止	支払ルール、承認、MFA、教育、台帳を見直す

警察庁は、ビジネスメール詐欺被害に遭った場合、攻撃者から送信されたメール等を持参して最寄りの警察署に通報・相談するよう案内しています。また、攻撃者から送信されたメールやメールヘッダ情報等を保存し、取引先にも保存を依頼するよう示しています。

警察庁は、サイバー事案に関する通報、相談、情報提供の全国統一のオンライン受付窓口も設置しています。ただし、被害届を行う場合は最寄りの警察署等への連絡が必要とされています。

証跡として残すべきもの

ビジネスメール詐欺では、後から銀行、警察、取引先、保険会社、顧問弁護士、社内責任者に説明する必要が出る場合があります。

そのため、次の証跡を残します。

証跡	内容
不審メール	本文、送信者、宛先、日時、添付ファイル
メールヘッダ	送信経路、送信元IP、認証結果など
添付請求書	偽の請求書、差し替え前後の請求書
振込情報	振込先口座、金額、送金日時、振込依頼書
承認記録	誰が承認したか、どの手順を踏んだか
通話メモ	取引先、銀行、警察、社内連絡の記録
メールアカウント設定	転送設定、振り分けルール、ログイン履歴
時系列	発覚、確認、銀行連絡、警察相談、取引先連絡の流れ
再発防止策	社内ルール変更、教育、MFA設定、承認フロー変更

IPAも、警察や銀行へ連絡する際、ログを含む証跡の提示を求められる可能性があるため、攻撃者から送られてきたメール等を可能な限り確保し、状況や経緯をまとめておくことを勧めています。

月次点検で確認すること

ビジネスメール詐欺対策は、支払時だけでなく、月次点検にも組み込みます。

点検項目	内容
振込先変更の件数	当月に何件の口座変更があったか
確認票の有無	すべての変更に確認記録があるか
未承認の例外処理	緊急支払、社長指示、事後承認がないか
取引先台帳	連絡先、代表番号、担当者が更新されているか
メール転送設定	経理・総務・代表者のメールに不審な転送がないか
MFA	経理・総務・代表者・管理者アカウントで有効か
教育	新人、パート、経理、営業がルールを理解しているか
不審メール共有	当月の不審メールを社内共有したか
送金ミス・ヒヤリハット	未遂事案を記録し、改善につなげたか

これは、5月のテーマである「証跡ファイル」にもつながります。
支払ルール、確認票、月次点検、教育記録を残すことで、取引先にも「振込先変更時の確認ルールを整備しています」と説明しやすくなります。

よくある失敗

「いつもの取引先だから」と確認しない

ビジネスメール詐欺では、いつもの取引先を装うからこそ危険です。
過去のやり取りに見えるメールでも、振込先変更や決済手段変更があれば必ず別経路で確認します。

メール本文の電話番号へ電話する

メール本文や署名欄の電話番号は偽装されている可能性があります。
必ず名刺、契約書、取引先台帳、自社のアドレス帳など、事前に信頼できる方法で入手した連絡先を使います。

社長指示を例外にする

「社長からのメールだから」という理由で承認手順を省略すると、経営者なりすましに弱くなります。
代表者も含め、送金ルールを守ることが重要です。

不審メールを削除してしまう

不審メール、メールヘッダ、添付ファイル、通話記録、承認記録は証跡になります。
削除せず、社内の責任者や保守会社の指示に従って保管します。

技術対策だけで防げると思う

ビジネスメール詐欺は、人を騙す手口です。
セキュリティソフトやメールフィルタだけでは防ぎきれない場合があります。
社内規程、二重承認、メール以外の確認、教育を組み合わせる必要があります。

まとめ

ビジネスメール詐欺を防ぐために、中小企業が最初に決めるべきルールは明確です。