--- title: "フィッシングとビジネスメール詐欺への備え｜AI-Ready.jp" url: https://www.ai-ready.jp/guide/phishing-and-bec-prevention/ description: "フィッシングとビジネスメール詐欺は、文面で見分けるより、送金や口座の変更を別の連絡手段で確かめる手続き、送信ドメイン認証、強い認証で防ぐのが現実的です。警察庁・IPA・フィッシング対策協議会の資料で整理しました。" updated: 2026-11-12 publisher: "フロレンティナ株式会社" --- はじめる[柱：基盤とセキュリティ](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) # フィッシングとビジネスメール詐欺への備え 執筆：[石田誠](https://www.ai-ready.jp/about/authors/#ishida)更新 2026-11-12最終確認 2026-11-12出典 4件[図解 2点](https://www.ai-ready.jp/zukai/) この記事の結論 フィッシングとビジネスメール詐欺は、文面の不自然さで見分けることに頼らず、「送金や口座の変更は別の連絡手段で確かめる」「自社のドメインを送信ドメイン認証で守る」「フィッシングに強い認証を使う」の3つを手続きと仕組みで固めるのが現実的です。 自社の「基盤とセキュリティ」の準備度は？[10問・約3分で確かめる（無料・登録不要）](https://www.ai-ready.jp/diagnosis/quick/) 偽のメールやSMSで情報を盗むフィッシングと、取引先や経営者になりすまして送金させるビジネスメール詐欺（BEC）は、生成AIの普及で文面が自然になり、見分けにくくなっています。この記事では、警察庁、IPA（情報処理推進機構）、フィッシング対策協議会の資料にそって、手口と備えを整理します。 この記事でわかること - フィッシングとビジネスメール詐欺の主な手口と、最近の変化 - 送金や口座の変更を確かめる手続きの作り方 - 送信ドメイン認証と、フィッシングに強い認証の考え方 ## フィッシングとビジネスメール詐欺は、何が違うのですか？ **フィッシング**は、実在する組織をかたってメールやSMSのリンクから偽のサイトに誘導し、IDやパスワード、カード番号などを入力させて盗む手口です。警察庁の資料によると、フィッシング対策協議会への令和7年のフィッシングの報告件数は245万4,297件で、増加が続いています。同じ年のインターネットバンキングの不正送金は4,747件、被害総額は約103億9,700万円で、手口の約9割をフィッシングが占めています。 **ビジネスメール詐欺**は、取引先や経営者などになりすました偽のメールで、攻撃者が用意した口座に送金させる手口です。IPAの「情報セキュリティ10大脅威 2026」では、組織向けの10位に入っています（9年連続）。 二つは別の手口ですが、つながっています。IPAの解説書は、フィッシングや不正ログインで盗んだ情報が、ビジネスメール詐欺の準備に使われることを挙げています。 ## ビジネスメール詐欺には、どんな手口がありますか？ IPAの解説書は、主な手口を次のように整理しています。 | 手口 | 内容 | |---|---| | 取引先へのなりすまし | 正規の請求書の口座を、攻撃者の口座に差し替えた偽の請求書を送る | | 経営者などへのなりすまし | 業務の指示のようなメールで、従業員に送金を促す | | 社外の権威ある第三者へのなりすまし | 弁護士などを名乗り、財務の担当者に送金を促す（生成AIなどによる偽の電話もある） | | 準備としての情報の窃取 | 経営者や人事担当になりすまして従業員の情報を集めたり、取引のメールを盗み見たりする | ビジネスメール詐欺の流れ 準備 フィッシング・不正ログイン 情報を盗む 従業員の情報や取引のメール なりすまし 取引先・経営者・弁護士などを装う 偽の請求書や業務の指示 **攻撃者の口座への送金** 取引先の担当者のアカウントが乗っ取られ、正規のメールアドレスから偽の依頼が届いた事例もあります。 最近の傾向として、IPAの解説書は、生成AIを悪用した手口の多様化、なりすましにディープフェイクなどが使われる例、「緊急」「他の従業員には秘密」と添える例を挙げています。社長や役員を装って、チャットのグループを作るよう求める短いメールが相次いでいることにも触れています。取引先の担当者のアカウントが乗っ取られ、正規のメールアドレスから偽の支払いの依頼が届いた事例も紹介されています。 **正規のアドレスから、自然な文面で届くことがあるため、メールの見た目だけで本物かどうかを判断するのは難しくなっています。** ## 送金や口座の変更は、どう確かめればよいですか？ ビジネスメール詐欺への備えの中心は、お金が動く場面の手続きです。IPAの解説書の対策をもとに、手順を作ります。 ① **一人で完結させない**：金銭の支払いは、複数の人が審査・承認する流れにし、一人で判断を終えないようにします。 ② **別のルートで確かめる**：振込の依頼や口座の変更の依頼を受けたら、ふだんの連絡手段とは別の、事前に取り決めたルートで確かめます。電話やメールだけで受け付けない決まりにします。 ③ **確かめる先の連絡先は手元の情報を使う**：届いたメールや請求書に書かれた電話番号ではなく、契約書や名簿など、前から持っている連絡先に問い合わせます。 ④ **口座の名義も確かめる**：IPAの解説書は、金融機関にその口座の名義などを確かめることも挙げています。 ⑤ **急がされたら立ち止まる**：判断を急がせるメールは、真偽を確かめる時間を与えないための手口のこともあります。確かめる流れを前もって決めておきます。 振込や口座の変更の依頼を受けたとき - **一人で完結させない**：複数の人が審査・承認する流れにします - **別のルートで確かめる**：事前に取り決めたルートで確認し、**電話やメールだけで受け付けない** - **手元の連絡先を使う**：届いたメールや請求書の番号ではなく、契約書や名簿の連絡先に問い合わせます - **口座の名義も確かめる**：金融機関に口座の名義などを確かめます - **急がされたら立ち止まる**：確かめる流れを前もって決めておきます 警察庁の資料は、銀行を名乗る電話でメールアドレスを聞き出し、偽のメールを送って法人口座から不正に送金させる「ボイスフィッシング」の被害が増えたことも紹介しています。銀行から電話があったときは代表電話などに折り返して確かめ、インターネットバンキングは銀行の公式サイトやアプリから使うことを、社内で徹底するよう呼びかけています。 読みながら、自社の現在地を確かめませんか クイック診断は10問・約3分・登録不要です。7つの柱ごとの目安と、「基盤とセキュリティ」を含めて次に取り組むことがわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/)[結果の解説（30分・無料）](https://www.ai-ready.jp/consult/review/) ## 自社のドメインを守るには、どうすればよいですか？ 自社をかたる偽のメールが取引先や顧客に届くと、相手の被害だけでなく、自社の信用にも関わります。IPAの解説書は、SPF・DKIM・DMARCといった**送信ドメイン認証**の導入を対策に挙げています。 - **SPF**：送ってきたメールサーバーが、そのドメインの正規のサーバーかを確かめます。 - **DKIM**：メールに付けた電子署名で、送信者と改ざんの有無を確かめます。 - **DMARC**：SPFやDKIMの結果をもとに、受け取る側が認証に失敗したメールをどう扱うか（何もしない・隔離する・受け取らない）を、ドメインの持ち主が示します。 フィッシング対策協議会の「フィッシング対策ガイドライン 2026年度版」は、DMARCのポリシーを「p=reject」（受け取らない）にすることを推奨しています。「p=none」では意味をなさないとし、すぐに「p=reject」にするのが難しい場合は、まず「p=quarantine」（隔離）とし、最終的に「p=reject」を目指すのが適切としています。 進め方の目安は次のとおりです。メールの送信に使っているサービス（自社のサーバー、メール配信サービスなど）をすべて洗い出し、それぞれがSPFとDKIMに対応しているかを確かめてから、DMARCを段階的に強めていきます。洗い出しが漏れると、正規のメールが届かなくなることがあるためです。 ## 盗まれても悪用されにくくするには？ フィッシングでパスワードを盗まれても、それだけではログインできないようにしておくことが大切です。ただし、警察庁の資料は、偽のサイトに入力させた情報をすぐに正規のサイトで使う**リアルタイム型フィッシング**で、二段階認証を突破する手口が横行していると指摘しています。 そのため、フィッシング対策協議会のガイドラインは「フィッシング耐性を有する多要素認証」を重要項目に挙げ、パスキーや生体認証などを例に示しています。IPAの解説書も、メールのアカウントの認証について、パスキーやデバイス認証などの強固な多要素認証の採用を検討するよう挙げています。導入の進め方は「[多要素認証・パスキーの導入の進め方](https://www.ai-ready.jp/guide/mfa-and-passkey-introduction/)」をご覧ください。 あわせて、IPAの解説書は、私用のメールアドレスを業務に使わないことも対策に挙げています。 ## 社員には、何を伝えればよいですか？ 教育では、見分け方よりも「迷ったら止まって確かめる」行動を伝えると効果的です。 - メールやSMSのリンクからログインせず、ブックマークや公式アプリから開く - 送金・口座の変更・機密の情報の送付を求められたら、決めた手順で確かめる - 「至急」「内密に」と書かれた依頼ほど、上司や担当部署に相談する - 不審に思ったら、責任を問われる心配をせずに報告できる窓口を知っておく 研修の組み立ては「[社員のセキュリティ教育の進め方](https://www.ai-ready.jp/guide/security-education/)」も参考になります。 ## チェックリスト ## 関連するひな形・ガイド・用語 ひな形 - [セキュリティの自己点検表](https://www.ai-ready.jp/templates/security-self-check/) - [セキュリティ事故の報告書（社内用）](https://www.ai-ready.jp/templates/incident-report-form/) ガイド - [ディープフェイクを使ったなりすましへの備え](https://www.ai-ready.jp/guide/deepfake-fraud-prevention/) - [多要素認証・パスキーの導入の進め方](https://www.ai-ready.jp/guide/mfa-and-passkey-introduction/) - [社員のセキュリティ教育の進め方](https://www.ai-ready.jp/guide/security-education/) - [AIのセキュリティの基本：AIへの攻撃とAIを使った攻撃への備え](https://www.ai-ready.jp/guide/ai-security-basics/) - [セキュリティ事故が起きたときの対応の手順](https://www.ai-ready.jp/guide/security-incident-response/) 用語 - [フィッシング](https://www.ai-ready.jp/glossary/phishing/) - [ビジネスメール詐欺（BEC）](https://www.ai-ready.jp/glossary/bec/) - [ソーシャルエンジニアリング](https://www.ai-ready.jp/glossary/social-engineering/) - [多要素認証](https://www.ai-ready.jp/glossary/multi-factor-authentication/) - [パスキー](https://www.ai-ready.jp/glossary/passkey/) - [承認フロー](https://www.ai-ready.jp/glossary/approval-workflow/) ## よくあるご質問 Q取引先から振込先の変更の連絡が来ました。どう確かめればよいですか？ AIPAの解説書は、振込依頼や口座の変更の依頼があった場合、ふだんの連絡手段とは別に、事前に取り決めたルートで確かめることを挙げています。届いたメールに書かれた電話番号ではなく、手元の名簿などにある番号に電話して確かめると安心です。 QDMARCとは何ですか？ A自社のドメインをかたったなりすましメールを、受け取る側で判定・制御できるようにする送信ドメイン認証の仕組みです。フィッシング対策協議会のガイドラインは、最終的に「p=reject」の設定を目指し、すぐに難しい場合はまず「p=quarantine」から始めることを適切としています。 Q二段階認証を使っていれば、フィッシングは防げますか？ A警察庁の資料は、偽のサイトに入力させた情報をすぐに使う「リアルタイム型フィッシング」で二段階認証を突破する手口が横行していると指摘しています。パスキーなど、フィッシングに強い認証方式を検討すると、より安心です。 ## この記事に出てくる用語 - [フィッシング](https://www.ai-ready.jp/glossary/phishing/) - [ビジネスメール詐欺（BEC）](https://www.ai-ready.jp/glossary/bec/) - [生成AI](https://www.ai-ready.jp/glossary/generative-ai/) - [ディープフェイク](https://www.ai-ready.jp/glossary/deepfake/) - [多要素認証](https://www.ai-ready.jp/glossary/multi-factor-authentication/) - [パスキー](https://www.ai-ready.jp/glossary/passkey/) - [クラウド](https://www.ai-ready.jp/glossary/cloud/) - [承認フロー](https://www.ai-ready.jp/glossary/approval-workflow/) - [ソーシャルエンジニアリング](https://www.ai-ready.jp/glossary/social-engineering/) ## 「基盤とセキュリティ」のほかの記事 [この柱の解説 →](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) [広げる／基盤とセキュリティAIと社内システムをAPIでつなぐ基本：仕組み・手順・安全の確かめ方石田誠2026-11-12](https://www.ai-ready.jp/guide/api-integration-basics/)[広げる／基盤とセキュリティAIのセキュリティの基本：AIへの攻撃とAIを使った攻撃への備え石田誠2026-10-26](https://www.ai-ready.jp/guide/ai-security-basics/)[定着させる／基盤とセキュリティAIの運用（MLOps・LLMOps）の基本：作った後に品質を保ち続ける仕組み石田誠2026-11-12](https://www.ai-ready.jp/guide/mlops-llmops-basics/) ## 出典 1. [警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf) 2. [IPA「情報セキュリティ10大脅威 2026」解説書［組織編］](https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf) 3. [IPA「ビジネスメール詐欺（BEC）対策特設ページ」](https://www.ipa.go.jp/security/bec/index.html) 4. [フィッシング対策協議会「フィッシング対策ガイドライン 2026年度版」](https://www.antiphishing.jp/report/guideline/antiphishing_guideline2026.html) 最終確認日：2026-11-12 ## 次の一歩 [測るAI-Ready診断（無料）いまの準備状況を、7つの柱で確かめられます。](https://www.ai-ready.jp/diagnosis/) [相談する結果の解説（30分・無料）診断の結果をもとに、オンラインでご説明します。](https://www.ai-ready.jp/consult/review/) [窓口ご相談のお申し込み経営・M&A・事業承継・上場・バリューアップはフロレンティナ、AIの導入・開発・データ・セキュリティ・研修はアメリア・テクノロジーがお受けします。](https://www.ai-ready.jp/consult/apply/) 目次 1. フィッシングとビジネスメール詐欺は、何が違うのですか？ 2. ビジネスメール詐欺には、どんな手口がありますか？ 3. 送金や口座の変更は、どう確かめればよいですか？ 4. 自社のドメインを守るには、どうすればよいですか？ 5. 盗まれても悪用されにくくするには？ 6. 社員には、何を伝えればよいですか？ 7. チェックリスト 8. よくあるご質問 この記事が扱う柱 主に「基盤とセキュリティ」 [基盤とセキュリティの解説](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) 自社の準備度を確かめる 10問・約3分・登録不要。7つの柱ごとの目安がわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/) --- 出典：フロレンティナ株式会社「フィッシングとビジネスメール詐欺への備え｜AI-Ready.jp」 https://www.ai-ready.jp/guide/phishing-and-bec-prevention/