取引先を名乗るメールで送金してしまった！ビジネスメール詐欺の対処と、お金を取り戻す手順

01この記事でわかること（3行まとめ）

• まず送金に使った銀行に電話する。IPA、警察庁、警視庁はそろって、送金元の銀行に送金の取り消しや「組戻し（くみもどし）」を急いで頼むよう案内しています。全国銀行協会は、振込先の口座がある銀行にも連絡し、警察に届け出るよう案内しています。
• お金が戻るかは、時間と口座の残高しだい。IPAは、取り戻せた例も、取り戻せなかった例もあるとしています。国内の口座なら「振り込め詐欺救済法」の手続きで戻る場合がありますが、上限は口座に残っていた金額までです。
• メールを残し、乗っ取りを調べ、電話で確かめる。だましのメールはヘッダ（配送の記録）ごと保存し、自社と取引先のメールアカウントが乗っ取られていないかを確認します。取引先にはメール以外の方法で連絡します。

ビジネスメール詐欺は、パソコンが壊れるような攻撃ではありません。メールのやり取りに割り込み、人をだまして送金させる詐欺です。そのため、慌てて「メールを全部消す」「パソコンを初期化する」と、あとで調べる手がかりがなくなります。消さずに、順番に動いてください。

02そもそもビジネスメール詐欺って何？（1分でわかる）

ビジネスメール詐欺は、取引先や自社の社長になりすました偽のメールで、犯人の口座にお金を振り込ませる詐欺です。英語の頭文字を取って「BEC（ビーイーシー、Business Email Compromise）」とも呼ばれます。IPAは「偽の電子メールを組織・企業に送り付け、従業員を騙して攻撃者の用意した口座へ送金させる詐欺の手口」と説明しています。

たとえるなら、いつもの取引先の封筒とそっくりの封筒で「今月から振込先が変わりました」という手紙が届き、その手紙が実は泥棒の書いたものだった、というようなものです。差出人の名前も、書き方も、いつもの請求書とほとんど同じなので、受け取った人は疑いにくいのです。

警察庁は、指定される口座は海外であることが多く、一度送金されると回収が極めて困難になると注意しています。この記事に出てくる言葉は、次の意味です。

技術だけで防ぐのが難しい詐欺だ、という点も覚えておいてください。IPAの2017年の注意喚起は、技術的な対策で防ぐのは難しく、一人ひとりが手口を理解して「怪しさ」を見抜くことが重要だとしています。言葉の意味は用語集「ビジネスメール詐欺」にもまとめています。

03ビジネスメール詐欺の手口：IPAが紹介する5つのタイプ

IPAは2017年4月3日のレポートで、米国の IC3（FBIのインターネット犯罪の窓口）などの分類にならい、手口を次の5つのタイプに分けて紹介しています。

IPAの特設ページは、このうちタイプ1とタイプ2の事例を多く確認しているとしています。タイプ1は、主に海外の企業と取引している会社で被害が多いそうです。タイプ2は、財務や経理など、お金を管理する部門が狙われやすく、「秘密の案件で相談がある」といった連絡を装うことが多いとしています。

犯人は、前もってメールを盗み見て、取引の内容や担当者の名前を調べていることがあります。IPAの2017年の注意喚起では、請求する側と支払う側の両方になりすまして2社を同時にだます、CC（同報先）を偽物に差し替えてほかの関係者に届かないようにする、引用された過去のやり取りを書き換える、といった手口が紹介されています。2018年7月には、IPAが初めて日本語のビジネスメール詐欺を確認したとしています。

最近の例として、警察庁は2026年2月13日に「ニセ社長詐欺」への注意を呼びかけました。会社の公開アドレスに社長を名乗るメールが届き、「新しいプロジェクトのため」とSNSのグループを作らせ、振込の権限を持つ担当者を入れさせ、口座の残高を答えさせたうえで送金させる流れです。メール以外に、電話を使う手口があることもIPAのFAQで触れられています。

家賃や仕入れ代金など、相手が誰であっても「振込先が変わった」という連絡が来たときの考え方は同じです。メールに書かれた連絡先ではなく、前から知っている電話番号にかけて確かめます（後の「再発防止」の節でくわしく）。

04送金してしまったら最初の1時間でやること（この順番で）

IPA、警察庁、警視庁、全国銀行協会の案内に共通する動きを、やる順番に並べました。

1. 送金に使った銀行に電話する（取り消し・組戻しの依頼）

IPAは、送金に使った銀行に、送金のキャンセルや組戻しの手続きを早急に頼むよう案内しています。警察庁と警視庁も、送金元の銀行に取り消しや組戻しを依頼するよう書いています。いつ、いくら、どの口座に送ったかが分かる控え（振込の明細）を手元に用意して電話します。

あわせて、全国銀行協会は、振り込め詐欺などで振り込んでしまった場合は振込先の口座がある銀行に連絡して振り込んだ事実を伝え、同時に必ず警察にも届け出るよう案内しています。預金保険機構も、振込先の金融機関に口座の取引の停止を頼むよう書いています。犯人が口座からお金を引き出す前に止められるかどうかが、取り戻せるかを分けます。

2. だましのメールを残す（消さない）

警察庁と警視庁は、犯人から届いたメールと、メールヘッダの情報を保存するよう案内しています。偽の請求書などの添付ファイルも、そのまま残します。IPAは、ログを含む証拠を確保し、経緯を時系列でまとめるよう勧めています。いつ、どのメールが届き、誰が、いつ、何をしたかをメモに書き出してください。

3. 取引先に、メール以外の方法で事実を確かめる

本当に取引先が口座を変えたのか、取引先のメールも乗っ取られていないかを確かめます。このとき、だましのメールに返信したり、メールの署名欄の電話番号にかけたりしてはいけません。警察庁は、名刺や自分のアドレス帳など、信頼できる方法で手に入れた連絡先を使うよう案内しています。取引先にも、同じ偽メールを保存してもらうよう頼みます（IPA、警視庁）。

4. 警察に相談する

警察庁は、メールなどの資料を持って最寄りの警察署に通報・相談するよう案内しており、前もって電話で日時や持っていく資料を相談しておくとスムーズだとしています。都道府県警察のサイバー犯罪相談窓口も使えます。警察庁は、警察相談専用窓口「#9110」も案内しています。

5. 社内の責任者に知らせ、調べる人を絞る

経営者と経理の責任者に知らせ、これ以上の送金が出ないよう止めます。警察庁は、内部の人が関わっている可能性もあるため、調査は少人数で行うのが望ましいとしています。

社員が不審なメールの添付ファイルやリンクを開いていた場合の動き方は、変なメールを開いてしまったときの記事にまとめています。

05お金は取り戻せる？組戻しと振り込め詐欺救済法

先に結論を書くと、必ず戻るとは言えません。IPAのFAQは、回収に成功した例も失敗した例もあり、必ず回収できるとは限らないが、発覚したら直ちに送金元の銀行に連絡することが重要だとしています。IPAの事例集には、偽の口座に送金したあと一部の資金を取り戻せた例や、送金先の銀行やメインバンクに連絡して振込の処理を止められた例が載っています。

組戻し：振り込んだお金を取り消す手続き

組戻しは、振込を頼んだ銀行を通じて、振り込んだお金を戻してもらう手続きです。IPAや警察庁が最初に挙げているのがこれです。犯人がまだ口座からお金を動かしていなければ、戻る可能性が上がります。手続きの細かい条件や手数料は銀行ごとに違うので、電話のときにその場で確かめてください。

振り込め詐欺救済法：凍結した口座の残高を分ける仕組み

正式な名前は「犯罪利用預金口座等に係る資金による被害回復分配金の支払等に関する法律」で、2008年6月21日に施行されました。法律は対象の犯罪を「詐欺その他の人の財産を害する罪の犯罪行為であって、財産を得る方法としてその被害を受けた者からの預金口座等への振込みが利用されたもの」と定めています。名前は「振り込め詐欺」ですが、振込みを使った詐欺が広く対象です。

預金保険機構によると、流れは次のとおりです。金融機関が、詐欺でお金が振り込まれた口座を凍結します。預金保険機構のサイトで、口座の持ち主の権利をなくす「公告」を出します。そのあと被害者からの申請を受け付け、「被害回復分配金」を支払います。全国銀行協会によると、手続きには全体で90日以上かかります（権利をなくす手続きに60日以上、被害者の申請期間に30日以上）。

注意点も、公式ページにはっきり書かれています。

• 戻るのは、口座に残っていた金額まで。分配される額は、口座が凍結されたときの残高が上限で、被害額の全額を国や金融機関が埋め合わせるものではありません（預金保険機構）。
• ほかの被害者と分ける。同じ口座に複数の被害者がいれば、被害額に応じて分けます。お金が一部引き出されていれば、そのぶん減ります。
• 残高が1,000円未満なら支払われない。全国銀行協会と預金保険機構が案内しています。
• 申し出ても対象にならない場合がある。全国銀行協会はそう注意しています。対象になるかは、振込先の金融機関に問い合わせます。
• 申請期間を過ぎると受け取れない。ただし、そのあとでも加害者にお金を返すよう民事で求めることはできるとしています（預金保険機構）。

自社が振り込んだ口座が公告されているかは、預金保険機構の公告ページで口座番号から調べられます。ただ、預金保険機構は、公告をずっと見張るのは大変なので、振込先の金融機関に問い合わせるのが効率的だとしています。この法律は国内の金融機関の口座のための仕組みなので、海外の口座に送った場合は次の節を見てください。

保険について、IPAのFAQは、補償された例もあるものの、犯人の口座への振込は国内のサイバー保険では一般に補償の対象外になることが多いとしています。サイバー保険に入っている会社は、保険会社に早めに確かめてください。

なお、金融庁は、この制度の返金を装って電話やチラシで勧誘する詐欺に注意を呼びかけています。制度による返金は、預金保険機構と金融機関が行う「被害回復分配金の支払手続」だけです。

06海外の口座に送金してしまった場合

警察庁が注意しているとおり、ビジネスメール詐欺で指定される口座は海外であることが多く、一度送ると回収は極めて困難です。そのぶん、最初の連絡の速さが大切になります。

IPAは、振込先が海外の口座の場合や、海外の拠点から振り込んだ場合は、送金元の銀行への連絡に加えて、その地域の現地警察に連絡し、口座の凍結や資金の回収を相談するよう案内しています。偽の口座がアメリカにある場合は、FBIや IC3 への通報も有効とされています。

IPAの事例集には、海外の取引先が偽の口座に送金手続きをしたものの、国内の会社が送金先の銀行やメインバンクに通報・連絡して振込の処理を止められた例があります。海外の子会社や支店がだまされた場合も、本社だけで抱え込まず、現地の担当者と同時に動いてください。外国の銀行とのやり取りは、自社の取引銀行の担当者に、何ができるかを相談するのが近道です。

07自社のメールが乗っ取られていないか確かめる

犯人が取引の内容を知っていたなら、どこかでメールを盗み見られていた可能性があります。IPAのFAQは、盗み見の原因として、ウイルスによるメールや認証情報の盗み出し、フィッシング（偽のログイン画面）でのパスワードの詐取、勝手に仕込まれた転送設定を挙げています。IPAと警察庁の案内をもとに、確かめる点を並べました。

• 関係した人全員のパソコンをウイルスチェックする。
• メールのパスワードを変える。ほかのサービスと使い回さない、推測されにくいものにします。
• 不正なログインがないか見る。メールサービスのログイン履歴で、特に海外からのログインがないかを確かめます。
• 転送設定と振り分け設定を見る。外部のアドレスへの自動転送や、普段見ないフォルダへメールを移す設定が勝手に作られていないかを確かめます。
• 関係者に聞き取りをする。不審なメールを開いていないか、パスワードを使い回していないかを聞きます。IPAは、聞き取りの範囲の目安を1年以内としています。

原因の調査は、外部のセキュリティ専門会社に頼むのも選択肢だとIPAは書いています。自社のメールが乗っ取られて、取引先やお客様の情報が外に出たおそれがあるときは、個人情報が漏れたかもしれないときに会社がやることの記事の手順で、報告の要否を確かめてください。会社のホームページ側も書き換えられていた場合はホームページが乗っ取られたときの記事を見てください。

08取引先・社内への連絡のしかた

ビジネスメール詐欺では、だまされた側だけでなく、名前を使われた側も当事者です。IPAのFAQは、支払う側だけでなく請求する側も標的になりうるとしています。

• 取引先には、電話など決まった経路で連絡する。IPAは、取引先に偽メールの保存と状況の調査を頼むこと、その際のメール以外の連絡経路を前もって決めておくことを勧めています。乗っ取りが解決するまでは、口座や金額の話をメールだけで進めないようにします。
• 自社の名前が使われたら、注意を呼びかける。IPAは、自社を名乗られた場合は社内外に注意喚起を行い、グループ会社の間で事例を共有するよう勧めています。取引先全体や一般に向けて公表することも検討してよいとしています。
• 社内では、窓口と情報をまとめる。不審なメールが来たら報告できる先を決め、集めた情報をほかの担当者にも知らせます。ほかの社員に同じメールが届いていることに気づけるからです。

IPAは、送金したかどうかにかかわらず、事例をIPAに情報提供することを勧めています。ほかの会社の被害を防ぐ材料になります。

09再発防止：振込先の変更は電話で確かめる

IPA、警察庁、警視庁が挙げる対策を、中小企業でもできる順に並べました。

振込先の変更や急ぎの送金は、メール以外で確かめる

いちばん効くのがこれです。IPAは、急な振込先や決済手段の変更があったら、取引先にメール以外の方法で確かめるよう求めています。連絡先は、メールの署名欄ではなく、名刺や前からの取引記録など信頼できる方法で手に入れたものを使います。社長からの指示も同じで、IPAの事例集には、社長を名乗る支払い要求に不審な点を感じた役員が社長に電話で確かめ、被害を防いだ例があります。「振込先の変更は、登録済みの電話番号にかけて確かめるまで払わない」と社内のルールに書いておきます。

一人で送金を完結させない（二重の確認）

警視庁は、送金のルールを厳しくし、複数の担当者で確かめる体制を徹底するよう勧めています。IPAも、送金前のチェック体制を強め、複数の防御の層を設けるよう書いています。振込先の新規登録や変更は、担当者と別の人（上司など）の2人で承認する形にしておくと、だまされた人が一人いても止まります。

メールアカウントを守る（多要素認証）

IPAは、セキュリティソフトを入れて最新にすること、メールのパスワードを複雑にして使い回さないこと、メールシステムに多要素認証やアクセス制限を入れることを検討するよう案内しています。多要素認証があれば、パスワードを盗まれても、それだけではログインされにくくなります。

自社の名前をかたるメールを届きにくくする（DMARC）

警察庁は、事業者が自社のドメイン（メールアドレスの「@」の後ろ）を悪用されないよう、送信ドメイン認証の導入を検討すべきだとしています。SPFは送信元の正しさを、DKIMは電子署名で送信元を確かめる仕組みで、DMARCはこの2つを組み合わせ、認証に失敗したメールをどう扱うかを送る側が指定できる仕組みです。ただし、IPAの2017年のレポートには、犯人がよく似た別のドメインを取って、そのドメインでは認証が通る状態にしていた例も載っています。DMARCは「自社をかたる偽メール」を減らす対策で、そっくりなアドレスを見分けるのは最後は人の目です。

電子署名と、似たドメインの確認

警察庁とIPAは、請求書などをメールでやり取りするときに電子署名を付けると、なりすましを見分けやすくなるとしています。IPAは、自社に似たドメインが取られていないかを定期的に調べ、必要なら注意を呼びかけることも勧めています。メールを守る製品を比べたいときはメールセキュリティの分類ページを見てください。

10相談先の一覧

全国銀行協会は、全国の銀行協会が運営する「銀行とりひき相談所」と、全国銀行協会相談室も案内しています。銀行とのやり取りで困ったときに使えます。被害のあとの流れ全体は被害に遭ったときのページにもまとめています。

送金の被害で手元の資金が足りなくなったときは、資金繰り総研の資金繰り改善の方法も参考にしてください。

11よくある質問