ある日突然、社長を名乗る人物から「至急、この口座に送金してほしい」というメールが届く。これが、企業の資金を狙う「CEO詐欺」の典型的な手口です。この詐欺は、ビジネスメール詐欺（BEC）の一種で、役員などになりすまして従業員を巧みに騙し、多額の資金をだまし取ろうとします。
この記事では、巧妙化するCEO詐欺の具体的な手口から、なぜ従業員が騙されてしまうのかという心理的な側面、そして企業が被害を未然に防ぐための具体的な対策までを網羅的に解説します。他人事と考えず、自社を守るための知識を身につけましょう。
CEO詐欺とは？ビジネスメール詐欺（BEC）との関係
CEO詐欺は、単なる迷惑メールとは異なり、特定の企業を狙って周到に準備されたサイバー攻撃です。攻撃者は企業の内部事情を調べ上げ、最も効果的なタイミングで罠を仕掛けてきます。まずは、その正体と位置づけを正しく理解しましょう。
1. 経営者になりすまして送金を指示させる手口の概要
CEO詐欺の最も基本的な手口は、CEO（最高経営責任者）やCFO（最高財務責任者）といった企業の経営幹部になりすまし、偽のメールを送ることです。そのメールで、「極秘の買収案件で、急いで送金が必要になった」などともっともらしい理由をつけ、経理担当者に送金を指示します。
メールアドレスの表示名を本物の役員そっくりに偽装したり、本物とよく似たドメインを取得したりするため、受信者は一見しただけでは偽物だと気づきにくいのが特徴です。
2. なぜ経理・財務担当者が主な標的になるのか
この詐欺の標的は、主に経理・財務部門の担当者や役員の秘書など、送金や支払いに関する権限を持つ従業員です。なぜなら、彼らが実際に送金手続きを行うことができるからです。
攻撃者は、企業のウェブサイトやSNSなどを事前に調査し、誰がその権限を持っているかを把握しています。そして、その担当者宛に直接、指示を送ることで、詐欺の成功確率を高めようとします。
3. 様々な手口を含むビジネスメール詐欺（BEC）の中での位置づけ
CEO詐欺は、「ビジネスメール詐欺（Business Email Compromise: BEC）」と呼ばれる、より広範な詐欺の一種です。BECには、CEO詐欺の他にも様々な手口があります。
例えば、取引先になりすまして請求書の振込先口座を偽の口座に変更させたり、弁護士を名乗って機密情報を要求したりする手口も存在します。CEO詐欺は、その中でも特に経営幹部へのなりすましに特化した手口として知られています。
巧妙化するCEO詐欺の具体的な手口
CEO詐欺の手口は、単にメールを送るだけにとどまらず、年々巧妙化・悪質化しています。攻撃者は、最新の技術も悪用しながら、より信じやすいシナリオで私たちを騙そうとします。代表的な手口を知っておきましょう。
1. 「至急」「極秘」を装う偽の送金指示メール
最も古典的で、今なお多いのがこの手口です。メールの件名に「緊急」「内密の件」といった言葉を使い、受信者にプレッシャーをかけます。「この件は他の誰にも話さないように」と付け加えることで、周囲への相談を防ぎ、冷静な判断をさせないように仕向けます。
人は、緊急性や機密性を強調されると、普段通りの確認プロセスを省略してしまう傾向があります。攻撃者は、その心理的な弱点を巧みに突いてくるのです。
2. 取引先とのメールのやり取りに割り込む手口
これは、攻撃者が事前に企業のメールシステムに侵入し、取引先とのやり取りを監視するところから始まります。そして、本物の請求書が送付されるタイミングを見計らって、そのやり取りに割り込みます。
攻撃者は、本物の請求書によく似た偽の請求書を送り付け、「振込先口座が変更になりました」と連絡します。担当者は、本物のやり取りの延長線上にあるため、疑うことなく偽の口座に送金してしまうのです。
3. AIを悪用したディープフェイクによる音声や映像での指示
最近では、AI技術を悪用した「ディープフェイク」による、さらに巧妙な手口も報告されています。これは、インターネット上にある経営幹部の音声や動画データをAIに学習させ、本物そっくりの声や映像を作り出す技術です。
攻撃者は、この技術を使って偽の音声メッセージを送ったり、オンライン会議に偽の映像で参加したりして、直接送金を指示します。声や顔が見えるため、従業員は疑うことなく信じてしまいます。
なぜ従業員はCEO詐欺に騙されてしまうのか？
「上司からのメールなら、電話で確認すればいいのに」と思うかもしれません。しかし、実際の業務の現場では、様々な心理的な要因が重なり、従業員は騙されてしまいます。その背景にある理由を理解することが、対策の第一歩です。
1. 経営幹部からの指示を疑いにくいという心理
多くの組織では、上司、特に経営幹部からの指示は絶対的なものとして捉えられがちです。そのため、CEO本人を名乗るメールが届けば、「疑うのは失礼にあたるのではないか」という心理が働きます。
日頃からトップダウンの文化が強い企業ほど、従業員は指示を鵜呑みにしてしまい、詐欺に遭うリスクが高まる傾向があります。
2. 緊急性や機密性を強調され、冷静な判断ができなくなる
CEO詐欺のメールは、多くの場合、「今すぐ」「今日中に」といった緊急性を強調する言葉が使われます。急かされることで、担当者は「早く処理しなければ」と焦ってしまい、普段なら行っているはずの確認作業を怠ってしまいます。
また、「極秘案件だから他言無用」と言われることで、同僚や上司に相談するという選択肢が奪われます。孤立させられることで、攻撃者の思うツボにはまってしまうのです。
3. 事前に企業情報を調べ上げる周到な準備
攻撃者は、やみくもにメールを送っているわけではありません。攻撃対象の企業のウェブサイト、プレスリリース、役員のSNSなどを徹底的に調べ上げ、社内の人間関係や進行中のプロジェクト、専門用語などを把握しています。
メールの文面に、こうした内部情報が巧妙に盛り込まれているため、受信者は「本人しか知り得ない情報だ」と信じ込んでしまいます。これは、ソーシャルエンジニアリングと呼ばれる、人の心理的な隙を突く攻撃手法です。
実際にあったCEO詐欺の被害事例
CEO詐欺は、対岸の火事ではありません。国内外の多くの企業が、実際に多額の被害に遭っています。具体的な事例を知ることで、この脅威がどれほど身近なものであるかを実感できるはずです。
1. 日本航空（JAL）で発生した約3.8億円の被害
日本でCEO詐欺の脅威が広く知られるきっかけとなったのが、2017年に発覚した日本航空（JAL）の事例です。取引先になりすました犯人からの偽の請求書メールを信じ込み、担当者が約3.8億円をだまし取られました。
この事件は、大企業であっても十分な対策が取られていなければ、巨額の被害に遭う可能性があることを示しています。
2. 海外の有名企業で起きた大規模な被害
CEO詐欺は、世界中で猛威を振るっています。GoogleやFacebookといった世界的なテクノロジー企業も、過去に取引先になりすました詐欺によって、合計で1億ドル以上の被害に遭ったと報じられています。
これらの事例から、企業の規模や知名度に関わらず、あらゆる組織が標的になりうることが分かります。
3. 中小企業でも発生している被害の傾向
大企業の被害事例が大きく報道されがちですが、実際には中小企業も数多く被害に遭っています。中小企業は、大企業に比べてセキュリティ対策にかけられる予算や人材が限られていることが多く、攻撃者にとっては狙いやすい標的と見なされています。
一回の被害が、会社の経営を揺るがす事態に発展する可能性も少なくありません。企業規模に関わらず、すべての組織で対策が求められます。
企業が今すぐ導入すべき技術的なセキュリティ対策
CEO詐欺の被害を防ぐためには、まず、なりすましメールを技術的に見破る仕組みを導入することが不可欠です。従業員の注意深さだけに頼るのではなく、システムで防御壁を築くことが重要になります。
1. なりすましメールを防ぐ送信ドメイン認証（DMARC）の設定
送信ドメイン認証（SPF, DKIM, DMARC）は、メールが正規のサーバーから送られたものであることを証明するための技術的な仕組みです。特にDMARCを設定することで、なりすましメールを受信しないようにしたり、受信した際に警告を表示させたりすることができます。
自社のドメインがなりすましに悪用されるのを防ぐ効果もあります。設定には専門的な知識が必要ですが、非常に効果の高い対策です。
2. メールの件名や本文に警告を表示する機能の活用
多くのメールシステムには、社外から送られてきたメールの件名や本文の冒頭に、「[外部]」や「[CAUTION]」といった警告文を自動で挿入する機能があります。これにより、受信者は一目でそのメールが外部から送られてきたものであることを認識できます。
役員からのメールに見えても、この警告が表示されていれば、「なりすましではないか？」と疑うきっかけになります。簡単ながら、効果的な対策の一つです。
3. 総合的なメールセキュリティソリューションの導入
より高度な対策として、AIを活用したメールセキュリティソリューションの導入も有効です。これらの製品は、メールの文面や送信元の情報、過去のやり取りのパターンなどを分析し、CEO詐欺の疑いがあるメールを自動で検知・隔離してくれます。
従来のウイルス対策ソフトでは検知できない、文面だけの攻撃にも対応できるのが強みです。
被害を防ぐための組織的なルール作りと体制整備
技術的な対策と合わせて、人間が確認するプロセス、つまり社内のルールを整備することも極めて重要です。システムと人間の両方でチェックする体制を築くことで、セキュリティは格段に向上します。
1. 送金や支払いに関する承認プロセスの厳格化
最も重要なルールは、送金や支払いに関する承認プロセスを見直し、厳格化することです。例えば、「金額の大小に関わらず、必ず複数人での承認を必須とする」「役員からの指示であっても、通常の承認フローを省略しない」といったルールを徹底します。
一人の担当者の判断だけで送金ができてしまう体制は、非常にリスクが高いと言えます。
2. メール以外の方法（電話・対面）での事実確認の義務付け
メールで送金指示を受けた場合は、必ずメール以外の方法で、その指示が本物かどうかを確認するプロセスを義務付けましょう。これを「アウト・オブ・バンド認証」と呼びます。
例えば、社内の電話帳に登録されている役員の電話番号に直接かけたり、対面で確認したりします。メールに記載されている電話番号にかけ直すのは、その番号自体が偽物である可能性があるため危険です。
3. 役員のメールアドレスや情報の取り扱いに関するルールの見直し
攻撃者は、企業のウェブサイトなどから役員の情報を収集します。そのため、公式サイトに役員のメールアドレスを直接掲載するのは避けるべきです。また、SNSでの発信内容にも注意が必要です。
社内においても、役員のスケジュールや行動予定といった情報は、必要最小限の範囲で共有するようにルールを定めることが望ましいでしょう。
全従業員で取り組むべき人的セキュリティ対策
どれだけ優れたシステムやルールを導入しても、それを使う従業員の意識が低ければ、効果は半減してしまいます。全従業員がセキュリティの重要性を理解し、実践することが、最後の砦となります。
1. CEO詐欺の手口を学ぶ定期的なセキュリティ教育の実施
CEO詐欺の最新の手口や、実際にあった被害事例などを学ぶ研修会を、定期的に実施することが重要です。特に、経理・財務担当者や役員秘書など、標的になりやすい従業員には、より実践的な教育を行う必要があります。
知識として知っているだけでも、いざという時の対応は大きく変わります。
2. 標的型攻撃メールを想定した実践的な訓練
知識を学ぶだけでなく、実際に体験することも大切です。標的型攻撃メール訓練は、従業員に対して、本物そっくりの偽の詐欺メールを送り、開封してしまわないか、報告できるかなどをテストする訓練です。
このような訓練を繰り返すことで、従業員は不審なメールを見抜く目を養い、正しい対応手順を体に覚えさせることができます。
3. 不審なメールを気軽に報告・相談できる文化の醸成
最も大切なのは、「怪しい」と感じた従業員が、それを安心して報告・相談できる組織文化を作ることです。「勘違いだったらどうしよう」「報告して怒られたら嫌だ」といった不安から、報告をためらってしまうケースは少なくありません。
「少しでも怪しいと思ったら、すぐに情報システム部門に連絡してください」「報告は良いことであり、決して責めません」というメッセージを、経営層が明確に発信することが重要です。
もしCEO詐欺の被害に遭ってしまったら？緊急時の対応フロー
どれだけ対策を講じていても、被害に遭う可能性をゼロにすることはできません。万が一、被害に遭ってしまった場合に、いかに迅速かつ的確に対応できるかが、被害を最小限に食い止める鍵となります。
1. 被害を最小限に食い止めるための初動対応
送金してしまったことに気づいたら、まず、被害状況の全体像を把握することが最優先です。いつ、誰が、誰の指示で、どこの口座に、いくら送金したのかを正確に確認します。
同時に、情報システム部門と連携し、関連するメールなどの証拠を保全し、さらなる被害を防ぐために、必要に応じてネットワークの遮断などの措置を講じます。
2. 送金先の金融機関への連絡と口座凍結の依頼
次に、送金手続きを行った自社の取引銀行に、直ちに連絡します。詐欺の被害に遭ったことを伝え、送金の取り消し（組戻し）が可能かどうかを確認します。
同時に、着金先の金融機関にも連絡を取り、犯人が利用している口座の凍結を依頼します。行動が早ければ早いほど、犯人がお金を引き出す前に口座を凍結できる可能性が高まります。
3. 警察や専門機関への通報と証拠保全
金融機関への連絡と並行して、速やかに警察のサイバー犯罪相談窓口に通報し、被害届を提出します。捜査には、保全した証拠が不可欠となるため、警察の指示に従って提出してください。
また、必要に応じて、情報処理推進機構（IPA）などの専門機関にも報告し、技術的な支援やアドバイスを求めることも重要です。
CEO詐欺に関する相談窓口
CEO詐欺の被害に遭った場合や、不審なメールを受け取って対応に困った場合には、専門の相談窓口を利用することができます。一人で抱え込まず、専門家の力を借りましょう。
| 相談窓口 | 主な役割 |
|---|---|
| 警察のサイバー犯罪相談窓口 | 犯罪としての捜査、被害届の受理 |
| 情報処理推進機構（IPA） | 技術的な相談、情報セキュリティに関する情報提供 |
| JPCERT/CC | インシデント対応の支援、関連組織との調整 |
1. 警察のサイバー犯罪相談窓口
実際に金銭的な被害が発生した場合は、まず警察に相談することが基本です。各都道府県警察には、サイバー犯罪に関する相談窓口が設置されています。緊急の場合は、110番通報してください。
被害届の提出方法や、その後の捜査の流れについて説明を受けることができます。
2. 情報処理推進機構（IPA）の情報セキュリティ安心相談窓口
情報処理推進機構（IPA）は、日本のIT国家戦略を技術面・人材面から支える経済産業省所管の独立行政法人です。IPAの「情報セキュリティ安心相談窓口」では、ウイルスや不正アクセス、今回のような詐欺の手口に関する相談を電話やメールで受け付けています。
技術的な観点からのアドバイスや、被害の拡大を防ぐための対策について助言をもらうことができます。
3. JPCERT/CC（ジェーピーサート・コーディネーションセンター）
JPCERT/CCは、特定の政府機関や企業から独立した、中立な組織です。インターネット上で発生するセキュリティインシデント（問題）に対応するためのチームで、インシデントに関する報告の受付、対応の支援、発生状況の把握、手口の分析などを行っています。
被害に遭った企業に対して、国内外の関係機関との調整を含めた、専門的な支援を提供しています。
まとめ
CEO詐欺は、企業の規模を問わず、すべての組織にとって深刻な脅威です。攻撃者は、技術的な弱点だけでなく、人間の心理的な隙を巧みに突いてきます。この詐欺から会社を守るためには、一つの対策に頼るのではなく、多層的な防御を築くことが不可欠です。
技術的な対策で不正なメールをブロックし、組織的なルールで人間のミスを防ぎ、そして従業員一人ひとりがセキュリティ意識を高める。この3つの歯車が噛み合って初めて、強固な防御体制が完成します。まずは、自社の送金プロセスに曖昧な点がないか、今日から確認を始めてみてください。