フィッシングとビジネスメール詐欺への備え

自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）

偽のメールやSMSで情報を盗むフィッシングと、取引先や経営者になりすまして送金させるビジネスメール詐欺（BEC）は、生成AIの普及で文面が自然になり、見分けにくくなっています。この記事では、警察庁、IPA（情報処理推進機構）、フィッシング対策協議会の資料にそって、手口と備えを整理します。

フィッシングとビジネスメール詐欺は、何が違うのですか？

フィッシングは、実在する組織をかたってメールやSMSのリンクから偽のサイトに誘導し、IDやパスワード、カード番号などを入力させて盗む手口です。警察庁の資料によると、フィッシング対策協議会への令和7年のフィッシングの報告件数は245万4,297件で、増加が続いています。同じ年のインターネットバンキングの不正送金は4,747件、被害総額は約103億9,700万円で、手口の約9割をフィッシングが占めています。

ビジネスメール詐欺は、取引先や経営者などになりすました偽のメールで、攻撃者が用意した口座に送金させる手口です。IPAの「情報セキュリティ10大脅威 2026」では、組織向けの10位に入っています（9年連続）。

二つは別の手口ですが、つながっています。IPAの解説書は、フィッシングや不正ログインで盗んだ情報が、ビジネスメール詐欺の準備に使われることを挙げています。

ビジネスメール詐欺には、どんな手口がありますか？

IPAの解説書は、主な手口を次のように整理しています。

最近の傾向として、IPAの解説書は、生成AIを悪用した手口の多様化、なりすましにディープフェイクなどが使われる例、「緊急」「他の従業員には秘密」と添える例を挙げています。社長や役員を装って、チャットのグループを作るよう求める短いメールが相次いでいることにも触れています。取引先の担当者のアカウントが乗っ取られ、正規のメールアドレスから偽の支払いの依頼が届いた事例も紹介されています。

正規のアドレスから、自然な文面で届くことがあるため、メールの見た目だけで本物かどうかを判断するのは難しくなっています。

送金や口座の変更は、どう確かめればよいですか？

ビジネスメール詐欺への備えの中心は、お金が動く場面の手続きです。IPAの解説書の対策をもとに、手順を作ります。

① 一人で完結させない：金銭の支払いは、複数の人が審査・承認する流れにし、一人で判断を終えないようにします。

② 別のルートで確かめる：振込の依頼や口座の変更の依頼を受けたら、ふだんの連絡手段とは別の、事前に取り決めたルートで確かめます。電話やメールだけで受け付けない決まりにします。

③ 確かめる先の連絡先は手元の情報を使う：届いたメールや請求書に書かれた電話番号ではなく、契約書や名簿など、前から持っている連絡先に問い合わせます。

④ 口座の名義も確かめる：IPAの解説書は、金融機関にその口座の名義などを確かめることも挙げています。

⑤ 急がされたら立ち止まる：判断を急がせるメールは、真偽を確かめる時間を与えないための手口のこともあります。確かめる流れを前もって決めておきます。

警察庁の資料は、銀行を名乗る電話でメールアドレスを聞き出し、偽のメールを送って法人口座から不正に送金させる「ボイスフィッシング」の被害が増えたことも紹介しています。銀行から電話があったときは代表電話などに折り返して確かめ、インターネットバンキングは銀行の公式サイトやアプリから使うことを、社内で徹底するよう呼びかけています。

自社のドメインを守るには、どうすればよいですか？

自社をかたる偽のメールが取引先や顧客に届くと、相手の被害だけでなく、自社の信用にも関わります。IPAの解説書は、SPF・DKIM・DMARCといった送信ドメイン認証の導入を対策に挙げています。

• SPF：送ってきたメールサーバーが、そのドメインの正規のサーバーかを確かめます。
• DKIM：メールに付けた電子署名で、送信者と改ざんの有無を確かめます。
• DMARC：SPFやDKIMの結果をもとに、受け取る側が認証に失敗したメールをどう扱うか（何もしない・隔離する・受け取らない）を、ドメインの持ち主が示します。

フィッシング対策協議会の「フィッシング対策ガイドライン 2026年度版」は、DMARCのポリシーを「p=reject」（受け取らない）にすることを推奨しています。「p=none」では意味をなさないとし、すぐに「p=reject」にするのが難しい場合は、まず「p=quarantine」（隔離）とし、最終的に「p=reject」を目指すのが適切としています。

進め方の目安は次のとおりです。メールの送信に使っているサービス（自社のサーバー、メール配信サービスなど）をすべて洗い出し、それぞれがSPFとDKIMに対応しているかを確かめてから、DMARCを段階的に強めていきます。洗い出しが漏れると、正規のメールが届かなくなることがあるためです。

盗まれても悪用されにくくするには？

フィッシングでパスワードを盗まれても、それだけではログインできないようにしておくことが大切です。ただし、警察庁の資料は、偽のサイトに入力させた情報をすぐに正規のサイトで使うリアルタイム型フィッシングで、二段階認証を突破する手口が横行していると指摘しています。

そのため、フィッシング対策協議会のガイドラインは「フィッシング耐性を有する多要素認証」を重要項目に挙げ、パスキーや生体認証などを例に示しています。IPAの解説書も、メールのアカウントの認証について、パスキーやデバイス認証などの強固な多要素認証の採用を検討するよう挙げています。導入の進め方は「多要素認証・パスキーの導入の進め方」をご覧ください。

あわせて、IPAの解説書は、私用のメールアドレスを業務に使わないことも対策に挙げています。

社員には、何を伝えればよいですか？

教育では、見分け方よりも「迷ったら止まって確かめる」行動を伝えると効果的です。

• メールやSMSのリンクからログインせず、ブックマークや公式アプリから開く
• 送金・口座の変更・機密の情報の送付を求められたら、決めた手順で確かめる
• 「至急」「内密に」と書かれた依頼ほど、上司や担当部署に相談する
• 不審に思ったら、責任を問われる心配をせずに報告できる窓口を知っておく

研修の組み立ては「社員のセキュリティ教育の進め方」も参考になります。

チェックリスト

• 金銭の支払いは、複数の人が承認する流れになっている
• 振込先や口座の変更は、事前に決めた別のルートで確かめる決まりがある
• 確かめるときは、届いたメールではなく手元の連絡先を使っている
• 銀行などを名乗る電話には、代表電話などに折り返して確かめている
• 自社のメールの送信元をすべて洗い出し、SPFとDKIMに対応させている
• DMARCを設定し、段階的に強めている
• メールやクラウドのアカウントに、フィッシングに強い認証の導入を検討している
• 私用のメールアドレスを業務に使わない決まりがある
• 不審なメールを報告する窓口を、社員が知っている