いつもの取引先から「次回から振込口座を変更してください」とメールが届いたとき、何を確かめればよいでしょうか。
結論は、メールの返信や添付書類だけで変更せず、既存の名刺・契約書・社内マスターにある連絡先から取引先へ確認し、社内の二者承認後に口座マスターを変えることです。 正規のメールアドレスから届いていても、アカウントが乗っ取られた可能性までは除けません。
IPAはビジネスメール詐欺の代表例として、取引先との請求書のやり取りに割り込み、振込先を攻撃者の口座へ差し替える手口を示しています。事例集には、銀行口座証明書類の偽造や、正規メールアカウントから口座変更を求められた例もあります。
口座変更だけを通常の請求処理から分ける
請求金額や担当者名が過去と一致していても、振込先変更は別の重要操作です。請求書の承認と口座マスターの変更を同じ担当者・同じメールだけで完了させないようにします。
最初に次を保留してください。
- 新しい振込先の登録。
- 新口座へのテスト送金や少額送金。
- メールに添付された口座証明だけを根拠にした承認。
- 「監査中」「従来口座が使えない」「今日中」といった理由での例外処理。
緊急性は、正当性の証明ではありません。支払期限が近い場合は、社内責任者と取引先の既存窓口へ保留理由を共有し、確認完了時刻を決めます。
別経路確認の5ステップ
警察庁とIPAは、送金に関するメールを受けた場合、電話やFAXなどメール以外の方法で取引先に確認し、メールに書かれた連絡先ではなく、名刺やアドレス帳など信頼できる連絡先を使うよう案内しています。
- 変更メールを受けた担当者と、口座マスターを変更する担当者を分ける。
- 過去の契約書、名刺、取引先台帳から、変更メールとは独立した連絡先を選ぶ。
- 「会社名、請求番号、変更理由、旧口座、新口座、適用開始日」を読み上げて照合する。
- 電話確認した相手の部署・氏名・日時を記録し、二人目の承認者が確認する。
- 変更後の初回送金は、通常の支払承認と受取人名義の確認を通す。
相手が「メールでしか対応できない」と言う場合は、そのまま変更せず、取引先の代表窓口や契約上の担当部署へ戻します。
メールの見た目は補助情報にする
ビジネスメール詐欺では、よく似た偽ドメインが使われる場合も、取引先の正規アカウントが乗っ取られる場合もあります。次の差分は記録しますが、一致したから合格とはしません。
| 確認対象 | 比較先 | 注意する差分 |
|---|---|---|
| 送信元ドメイン | 過去の正規メール | 1文字追加・削除、文字順、別の末尾 |
| Reply-To | 実際の返信先 | 表示された差出人と異なる |
| 口座名義 | 契約・過去振込 | 会社名、法人格、支店、通貨の変更 |
| 添付書類 | 過去書式・別経路確認 | 印影や書式が似ていても単独では承認しない |
| 会話の流れ | 過去スレッド | 途中参加、急な言語・決済手段変更 |
内閣サイバーセキュリティセンターは、生成AIにより偽メールと正規メールの文面を見分けることが難しくなっていると説明しています。文面の自然さ、敬語、署名画像だけに依存せず、取引先台帳と承認フローを使います。
社内で残す「口座変更確認票」
口座変更のたびに、次の項目を一枚へまとめます。
- 受信日時、送信元、件名。
- 取引先名、請求番号、支払期限、金額。
- 旧口座と新口座の相違点。
- 別経路で使った既存連絡先の出所。
- 確認相手の部署・氏名・確認日時。
- 登録担当者と承認担当者。
- 初回送金日と受取人名義の確認結果。
この確認票は「詐欺を断定する資料」ではなく、正当な変更でも同じ手順を通したことを残す業務記録です。相手先との契約や自社の保存規程に合わせ、必要以上の個人情報は記録しません。
取引先側のアカウント侵害も想定する
正規アドレスから不審な口座変更が届いた場合、取引先のメールアカウントが侵害されている可能性があります。別経路で取引先へ知らせ、同じスレッドで追加情報を送らないようにします。
自社側でも、不審なログイン、外部転送設定、見慣れない受信ルールがないか、システム担当が確認します。送金担当者がリンクを開いた、添付を実行した、パスワードを入力した場合は、その操作と端末をすぐ報告してください。
次にすること
口座変更メールを受けたら、まず既存の取引先台帳から電話番号を開き、「この変更をメール以外の方法で確認する」と支払メモへ記録してください。
社長や役員名でSNSグループ作成と送金を求められた場合は、取引先確認ではなく社内本人確認が中心です。ニセ社長メールを止める社内確認ルールへ戻ってください。すでに新口座へ送金した場合は、ビジネスメール詐欺で送金した後の連絡順へ進みます。
