【請求書の振込先変更は要確認】取引先を装うビジネスメール詐欺の手口と中小企業が取るべき対策
取引先から、このようなメールが届いたらどうしますか。
普段からやり取りしている担当者の名前が書かれ、いつもとよく似た文面で請求書が添付されていれば、そのまま経理担当者へ回してしまうかもしれません。
しかし、そのメールは取引先から送られたものではなく、攻撃者が取引先になりすまして送った「ビジネスメール詐欺」の可能性があります。
ビジネスメール詐欺は、単に怪しいメールを無差別に送るだけではありません。
攻撃者が実際のメールのやり取りを盗み見たうえで、支払日の直前など不自然に見えにくいタイミングを狙って、偽の請求書や振込先変更の連絡を送る場合があります。
この記事では、請求書や振込先変更を装う詐欺の手口と、中小企業が取り入れやすい対策を解説します。
当社の迷惑メール隔離データからは、今回取り上げる「取引先になりすまして振込先を変更させるメール」の実例は確認できませんでした。そのため本記事では、警察庁やIPAなどが公表している実際の事例・注意喚起を基に解説します。
2026年8月7日
まず結論：振込先の変更はメールだけで処理しない
請求書や振込先口座の変更を知らせるメールが届いた場合は、メールへの返信だけで確認を終わらせてはいけません。
特に、次の内容が含まれている場合は注意が必要です。
- 振込先口座が変更になった
- 今回だけ別の口座へ振り込んでほしい
- 新しい請求書に差し替えてほしい
- 支払いを前倒ししてほしい
- 至急送金してほしい
- これまでと異なる名義の口座を指定された
- 海外口座や個人名義口座を指定された
- メールだけで手続きを完了させようとしている
このような連絡を受けた場合は、以前から把握している取引先の電話番号へ連絡し、担当者本人に確認してください。
メール本文に新しく記載された電話番号へ連絡するのではなく、契約書、名刺、公式サイト、過去の登録情報など、別の経路で確認できる連絡先を使用することが重要です。
ビジネスメール詐欺（BEC）とは
ビジネスメール詐欺は、取引先、経営者、役員、弁護士などになりすまし、業務上の連絡を装って金銭をだまし取る詐欺です。
英語では「Business Email Compromise」と呼ばれ、頭文字を取って「BEC」と表記されます。
IPAは、ビジネスメール詐欺の代表的なパターンとして「取引先との請求書の偽装」を挙げています。取引の途中に攻撃者が割り込み、偽の口座が記載された請求書を送り付ける手口です。
【IPA「ビジネスメール詐欺のパターンとは」】
警察庁も、送金先の変更や緊急送金に関するメールを受信した場合は、送信元アドレスや本文をよく確認するよう注意を呼びかけています。
【警察庁「ビジネスメール詐欺に注意！」】
実際に確認されている手口
1．取引先の担当者になりすます
攻撃者が取引先担当者の氏名や署名を使用し、次のようなメールを送ります。
いつもお世話になっております。
弊社の取引銀行変更に伴い、今回のお支払いから振込先が変更となりました。
添付の請求書をご確認いただき、新しい口座へお振り込みください。
文章だけを見ると、通常の業務連絡と大きな違いがありません。
会社名、担当者名、案件名、請求金額などが合っている場合もあるため、経理担当者が正規の連絡だと思い込んでしまう危険があります。
2．本物によく似たメールアドレスを使用する
送信元のメールアドレスが、正規のアドレスとわずかに異なることがあります。
例えば、正規のドメインが次のものだったとします。
example-company.co.jp
偽メールでは、次のような紛らわしいドメインが使われる可能性があります。
examp1e-company.co.jp
アルファベットの「l」を数字の「1」に置き換えるなど、一見しただけでは分かりにくい変更が行われます。
メールソフトに担当者名しか表示されていない場合、アドレスの違いを見落としやすいため注意が必要です。
3．実際のメールの途中に割り込む
より巧妙なケースでは、攻撃者が取引先または自社のメールアカウントを不正に利用し、実際の商談や請求に関するメールを盗み見ます。
そして、請求書が送られる時期や支払日の直前を狙って、次のような連絡を送ります。
- 先ほどの請求書に誤りがあった
- 振込先が変更になった
- 新しい請求書へ差し替えてほしい
- 事情があり、今回だけ別口座へ送金してほしい
実際の取引内容や過去のやり取りを踏まえているため、通常の迷惑メールより見抜くことが困難です。
警察庁も、攻撃者がタイミングよく振込先変更メールを送ることから、事前にメールのやり取りを盗み見ている可能性があると説明しています。
【警察庁「ビジネスメール詐欺に注意！」】
4．偽の請求書へ差し替える
メール本文だけでなく、添付された請求書の振込先だけが変更されている場合もあります。
- 会社名
- 担当者名
- 請求金額
- 商品・サービス名
- 支払期限
- 請求書のレイアウト
これらは本物と同じでも、銀行名、支店名、口座番号、口座名義だけが攻撃者の口座へ変更されています。
IPAでは、海外取引先担当者を装った攻撃者が、偽口座へ改ざんした請求書を送った事例を紹介しています。
5．「至急」「秘密」を理由に確認させない
攻撃者は、担当者が周囲へ相談する時間を与えないようにします。
- 本日中に対応してほしい
- 支払いが遅れると契約に影響する
- 口座が一時的に使用できない
- 経営者から承認を得ている
- 他の担当者には連絡しないでほしい
急がせる表現があるほど、すぐに処理せず、一度立ち止まって確認する必要があります。
なぜ中小企業が狙われるのか
ビジネスメール詐欺は、大企業だけを狙うものではありません。
中小企業では、次のような事情が重なることがあります。
- 請求書の受信から振込までを一人で担当している
- 担当者同士のメールだけで口座変更を処理している
- 振込先変更の確認ルールが決まっていない
- IT担当者やセキュリティ担当者がいない
- メールアカウントに多要素認証を設定していない
- 不審なメールを相談する相手がいない
- 取引先との関係を気にして確認をためらってしまう
「長く付き合っている取引先だから大丈夫」とは限りません。
取引先側のメールアカウントが侵害され、そこから本物に近いメールが送られる可能性もあります。
迷惑メールを見抜く力だけでなく、メールが本物に見えても被害を防げる業務手順が必要です。
振り込む前に確認したい7つのポイント
1．送信元アドレスを最後まで確認する
表示名だけで判断せず、実際のメールアドレスとドメインを確認します。
ただし、正規のアカウントそのものが不正利用される可能性もあるため、アドレスが正しいことだけで安全とは判断できません。
2．過去の請求書と口座情報を比較する
銀行名、支店名、口座番号、口座名義を過去の請求書と比較します。
一項目でも変更されていた場合は、自動的に確認手続きへ回すルールが有効です。
3．メール以外の方法で担当者本人に確認する
以前から登録している電話番号へ連絡し、次の点を確認します。
- 本当に振込先を変更したのか
- 変更後の銀行名・支店名・口座番号
- いつから変更になるのか
- 今回の請求書も変更対象なのか
4．口座名義の違いを見逃さない
取引先の会社名と振込先の名義が異なる場合は、必ず理由を確認します。
特に、個人名義や別会社名義の口座へ突然変更された場合は、そのまま振り込んではいけません。
5．一人だけで判断しない
振込先の新規登録や変更は、担当者一人で完了させず、上司や経理責任者による確認を入れます。
少額であっても、口座変更時は承認を必須にすることが重要です。
6．添付ファイルの内容だけを信用しない
PDF形式の請求書であっても、本物とは限りません。
請求書のレイアウトがいつもと同じでも、振込先だけが書き換えられている可能性があります。
7．違和感を記録して社内共有する
不審なメールを受信したら、削除するだけでなく、経理担当者や経営者、IT管理者へ共有しましょう。
別の社員にも同様のメールが送られている可能性があります。
会社として決めておきたい防止ルール
技術的な対策だけで、ビジネスメール詐欺を完全に防ぐことは困難です。
次のような業務ルールを組み合わせることが重要です。
振込先変更時の確認ルール
- メールだけでは変更を受け付けない
- 登録済みの電話番号で本人確認する
- 口座変更は二人以上で確認する
- 確認した日時・相手・内容を記録する
- 一定額以上の振込は責任者が承認する
メールアカウントの安全対策
- 長く複雑なパスワードを使用する
- 他のサービスとパスワードを使い回さない
- 多要素認証を有効にする
- 不審なログイン履歴がないか確認する
- 不要な自動転送設定がないか確認する
- 退職者や未使用アカウントを放置しない
なりすましメールへの対策
自社ドメインから送られたように見せかけるメールへの対策として、SPF・DKIM・DMARCなどの送信ドメイン認証があります。
警察庁も、事業者に対して送信ドメイン認証技術の導入を案内しています。
【警察庁「ビジネスメール詐欺に注意！」】
ただし、これらを設定すればすべてのビジネスメール詐欺を防げるわけではありません。メールアカウント自体が乗っ取られた場合や、よく似た別ドメインが使用された場合に備え、振込時の確認ルールも必要です。
誤って振り込んでしまった場合の初動対応
偽の口座へ振り込んだ可能性がある場合は、社内調査を終えてから動くのではなく、直ちに対応してください。
1．振込元の金融機関へ連絡する
振込を行った金融機関へ事情を説明し、組戻しや送金停止が可能か確認します。
時間が経過するほど資金が移動され、回収が困難になる可能性があります。
2．警察へ相談する
メール、請求書、振込記録などを削除せず、警察へ相談します。
3．本物の取引先へ連絡する
登録済みの電話番号などを使い、取引先へ状況を確認します。
取引先側のメールアカウントが侵害されている可能性もあるため、双方で調査する必要があります。
4．メールアカウントを確認する
- 不審なログイン履歴
- 見覚えのない転送設定
- 受信トレイの振り分けルール
- 送信済みメール
- 削除済みメール
- パスワード変更履歴
- 多要素認証の登録状況
5．証拠を保存する
該当メールを削除せず、可能であればメールヘッダーを含む状態で保存します。
添付ファイル、送金記録、社内外のやり取り、発覚までの時系列も整理しておきましょう。
「怪しいメールを見抜く」だけでは不十分です
ビジネスメール詐欺の怖いところは、メールが明らかに怪しいとは限らないことです。
実際の担当者名や取引内容が使われ、いつものメールの続きとして送られれば、経験のある経理担当者でも見抜けない可能性があります。
そのため、社員個人の注意力だけに頼ってはいけません。
重要なのは、偽メールを見抜けなかった場合でも、振込前の確認で被害を止められる仕組みを作ることです。
- 振込先変更は電話確認
- 口座登録・変更は二人で承認
- メールには多要素認証
- 不審なメールはすぐ社内共有
- 困ったときに相談できる担当者を決める
まとめ
「振込先が変わりました」というメールは、本物の取引先から届くこともあります。
しかし、請求書や振込先変更を悪用したビジネスメール詐欺が実際に確認されている以上、メールだけで変更を処理するのは危険です。
特に注意したいのは、次のような連絡です。
- 急な振込先変更
- 差し替え請求書の送付
- 支払いの前倒し
- 個人名義や別会社名義の口座
- メール以外で確認させない内容
- 「至急」「秘密」など、判断を急がせる指示
少しでも変更や違和感があれば、登録済みの電話番号を使い、取引先本人へ確認してください。 ビジネスメール詐欺対策では、「怪しいメールを見抜くこと」以上に、「メールが本物に見えても、確認なしでは振り込めない仕組み」を作ることが大切です。
怪しいメールを操作してしまった方へ
メールを開いた、リンクをクリックした、パスワードやカード情報を入力したなど、操作内容によって必要な対応が異なります。 パスワード期限切れ・不審ログイン通知に注意
Microsoft、Apple、Amazon、金融機関などを装い、偽サイトへ誘導するメールも多数確認されています。 社長になりすましてLINEへ誘導する詐欺
当社へ実際に届いた23通のメールを基に、社長や役員を装う詐欺の手口を紹介しています。 ITやメールの安全対策を相談できる相手はいますか？
「多要素認証を設定したいが方法が分からない」
「迷惑メール対策が十分か確認したい」
「振込先変更や不審メールへの社内ルールを整えたい」
「IT担当者がおらず、トラブルのたびに対応が止まってしまう」
アルファパートナーズ株式会社では、中小企業のIT相談役として、メール、Microsoft 365、セキュリティ、バックアップ、Webサイト、ベンダー対応など、日常的なIT運用を幅広く支援しています。
発注内容が決まっていない段階でも、「何から確認すればよいか」というご相談から対応可能です。
