「社内メールに会社の代表を装った詐欺メールが届いた」「経理や総務に“至急”の振込指示が来た」――このような被害が近年、業種や規模を問わず増えています。いわゆるビジネスメール詐欺（BEC）の一種で、社長や役員になりすまして送金や情報提供を迫る手口です。
本記事では、社内メールに会社の代表を装った詐欺メールが多発した際の初動対応から、再発防止のための運用ルール・技術対策までをわかりやすく整理します。専門用語はできるだけかみ砕きつつ、現場でそのまま使えるチェックリストも用意しました。
なお、メール対策はITだけで完結しません。最後に入退室管理や防犯カメラなどの物理セキュリティも含めた「社内の守り方」まで触れます。
目次
1. 代表なりすまし詐欺メールとは？よくある手口
ビジネスメール詐欺（BEC）の基本
社内メールに会社の代表を装った詐欺メールは、主にビジネスメール詐欺（BEC）と呼ばれます。社長・役員・取引先などの“権威”を使って、受信者の判断を急がせ、送金や情報提供を引き出すのが特徴です。
よくある件名・文面パターン
なりすましメールは「それっぽさ」を出すため、短い文面で緊急性を強調する傾向があります。
- 「至急」「極秘」「すぐ対応」「会議中で電話できない」などを多用
- 「今日中に振込」「この口座へ」「PDFを確認して」など具体的な指示
- 普段と違う言い回し、署名が雑、時間帯が不自然（深夜・早朝）
- 代表の名前は正しいが、送信元ドメイン（@以降）が微妙に違う
なりすましの代表的な3タイプ
| タイプ | 特徴 | 狙い |
|---|---|---|
| 表示名なりすまし | 送信者の表示名を「代表取締役 ○○」にして、実際のアドレスは別 | 受信者が表示名だけ見て信じる |
| ドメイン偽装 | @company.co.jpに似せた別ドメイン（例：company-co.jp 等） | 見た目の違和感を減らす |
| アカウント乗っ取り | 本物の代表/社員アカウントから送信される | 最も信じやすく被害が大きい |
2. 被害を広げない初動対応（最初の30分）
まず「触らない・転送しない・返信しない」
社内メールに会社の代表を装った詐欺メールを見つけたら、まずは落ち着いてリンクを開かない／添付を開かないを徹底します。返信してしまうと「生きているアドレス」と判断され、次の攻撃につながることがあります。
実務で使える初動フロー
- メールを開いたがリンク・添付は触っていない → 報告と隔離へ
- リンクをクリックした → 端末をネットワークから切り離す（Wi-Fiオフ/LAN抜く）
- ID/パスワードを入力した → 即パスワード変更＋多要素認証の確認
- 振込指示に従いかけた/従った → 銀行へ至急連絡（組戻し等の相談）
担当者が迷わない「連絡先」の決め方
被害拡大を防ぐには、社内で「誰に連絡するか」を固定しておくのが重要です。たとえば、情報システム担当・総務・経理・代表の秘書機能など、窓口を一本化します。
| 状況 | 最優先の連絡先 | 次にやること |
|---|---|---|
| リンク/添付を開いていない | 情シス or 管理者 | 該当メールの隔離、全社注意喚起 |
| リンクをクリックした | 情シス（緊急） | 端末隔離、ログ確認、ウイルススキャン |
| パスワード入力した | 情シス（最優先） | 認証情報の変更、セッション強制終了 |
| 送金してしまった可能性 | 経理＋銀行 | 支払い停止/組戻し相談、警察相談 |
3. 社内への共有と証拠保全のポイント
証拠として残すべき情報
社内メールに会社の代表を装った詐欺メールは、後から原因調査や外部相談をする際に「どのメールか」が重要になります。可能であれば以下を残します（社内規程に沿って実施してください）。
- 件名・送信日時・送信元アドレス・本文（スクリーンショットでも可）
- メールヘッダー情報（Received、From、Return-Pathなど）
- 添付ファイル名、リンクURL（クリックしていない範囲で記録）
- 該当者の操作内容（クリックしたか、入力したか、送金したか）
全社周知は「短く・具体的に」
注意喚起は長文よりも、具体例と行動指示が効きます。たとえば「代表名の表示名だが、@以降が違う」「至急の振込指示は電話で確認」など、ポイントを絞ります。
外部への相談先（一般的な例）
被害が疑われる場合は、警察や専門窓口への相談も検討します。最終的な判断は状況により異なるため、顧問弁護士やセキュリティ専門家にも相談すると安心です。
4. 再発防止の基本ルール（運用）
「代表の指示＝必ず別経路で確認」をルール化
社内メールに会社の代表を装った詐欺メールの最大の狙いは「思考停止で実行させる」ことです。そこで、代表や役員からの依頼ほど、メール以外の別経路（電話・対面・チャットの公式アカウント等）で確認するルールを徹底します。
禁止ワードと例外運用を決める
現場が迷わないように、「メールで絶対にしないこと」を明確にします。
- メールでの口座変更指示を受け付けない
- メールでの至急送金依頼は必ず二重承認
- ID/パスワードやワンタイムコードの共有は禁止
- 機密情報（人事・顧客・給与）の添付送付は原則禁止（必要なら暗号化/安全な共有）
「やり取りの型」をテンプレ化する
承認や確認のテンプレを決めると、例外処理で抜け穴ができにくくなります。例えば「送金依頼は必ずフォーム申請」「フォームに二要素の承認が付く」など、仕組みに落とします。
5. 技術対策：メール認証・多要素認証・ログ監視
メール認証（SPF/DKIM/DMARC）を整備する
なりすまし対策の基本がメール認証です。簡単に言うと「そのドメインから送ってよいサーバーか」「改ざんされていないか」を判定する仕組みです。
- SPF：送信元サーバーが正当かを確認する仕組み
- DKIM：電子署名で、本文の改ざん有無を確認する仕組み
- DMARC：SPF/DKIM結果に基づき、受信側へ扱い方（隔離/拒否）を示す仕組み
これらは「完璧に防ぐ」ものではありませんが、社内メールに会社の代表を装った詐欺メールを減らす・見つけやすくする上で効果的です。
多要素認証（MFA）で“乗っ取り”を防ぐ
アカウント乗っ取り型は被害が大きいため、多要素認証（MFA）が重要です。パスワードに加えて、スマホアプリの確認など「もう一つの要素」を求めることで、盗まれたパスワードだけではログインしにくくします。
怪しいサインを早期に見つけるログ監視
代表や経理のアカウントに対して、以下のような兆候がないかを定期的に確認します（ツール導入や委託も有効です）。
- 海外IPや普段と違う地域からのログイン
- 大量の転送設定（自動転送ルール）の追加
- 短時間での大量送信、送信失敗の急増
- パスワード変更・MFA解除の試行
6. 送金・請求・人事情報の「二重承認」設計
二重承認は「人」より「仕組み」で担保
社内メールに会社の代表を装った詐欺メールが刺さる理由は、忙しいときに人がミスするからです。二重承認は「必ず二人が見る」だけでは足りず、ワークフロー（申請・承認の仕組み）で実施できる形が理想です。
口座変更・支払先変更は別枠で厳格化
特に狙われるのが「口座変更」です。電話での本人確認、過去に登録した番号への折り返し、契約書の再確認など、追加の確認プロセスを設けます。
社内で決めておきたい基準例
- 一定額以上は必ず二重承認（例：10万円、50万円など）
- 口座変更は金額に関係なく二重承認＋電話確認
- 代表名義の依頼でも例外にしない（むしろ厳格化）
7. 物理セキュリティも重要：入退室管理と防犯カメラ
メール詐欺でも「社内の情報管理」が狙われる
なりすましはメールだけの問題に見えますが、実際には社内の情報が漏れていることで精巧な文面が作られるケースもあります。名刺情報、役職、取引先名、請求サイクルなどが知られていると、詐欺メールの説得力が上がります。
入退室管理で“誰がいつ入ったか”を残す
入退室管理とは、カードや暗証番号などで入室を制限し、ログ（記録）を残す仕組みです。サーバールームや経理書類保管庫など、重要エリアへのアクセス管理が強化されます。
防犯カメラで抑止と証跡を確保する
防犯カメラは「侵入対策」だけでなく、社内の不正持ち出しや情報資産への接触の抑止にも役立ちます。特に以下の場所は効果が出やすいです。
- サーバールーム・ラック周辺
- 金庫・重要書類保管庫の前
- 入退室口（誰が入ったかが分かる位置）
- 受付・バックヤード（来訪者動線の確認）
ただし、撮影範囲や掲示、運用ルールはプライバシーにも関わります。設置前に社内規程や専門家の助言を踏まえて検討してください。
8. 社内チェックリストと導入ロードマップ
今日からできるチェックリスト
| 項目 | 具体的な確認内容 | チェック |
|---|---|---|
| 代表なりすましの周知 | 実例（件名・特徴）を全社に共有し、対応窓口を明確化した | □ |
| 送金の二重承認 | 一定額以上・口座変更の承認フローが仕組み化されている | □ |
| MFAの有効化 | 代表・経理・管理者アカウントで多要素認証が必須になっている | □ |
| 転送ルール監査 | メールの自動転送設定が不審に追加されていないか定期確認している | □ |
| 物理セキュリティ | 重要エリアに入退室管理があり、防犯カメラで記録が取れている | □ |
優先順位の付け方（小規模企業向け）
限られた予算と人員で対策するなら、まず「被害額が大きい経路」から塞ぐのが合理的です。
- 最優先：送金フローの二重承認、口座変更の電話確認、MFA
- 次に：メール認証（SPF/DKIM/DMARC）とログ監視
- 並行して：教育（訓練）と周知、物理セキュリティ（入退室管理・防犯カメラ）
社内訓練（疑似フィッシング）のすすめ
ルールを作っても、現場が慣れていないと事故は起きます。疑似的ななりすましメール訓練を行い、報告ルートが機能するかを確認すると、実際の被害を大きく減らせます。
9. よくある質問（Q&A）
Q1. 社内メールに会社の代表を装った詐欺メールが来たら、まず何をすべきですか？
リンク・添付を開かず、返信もせずに、社内で決めた窓口（情シスや総務など）へ速やかに報告してください。クリックや入力をしてしまった場合は、端末の隔離やパスワード変更など、被害拡大を防ぐ対応が必要です。
Q2. 表示名が社長なら本物だと思ってしまいます。見分け方はありますか？
表示名は簡単に偽装できます。送信元アドレスの@以降（ドメイン）を必ず確認し、「普段と微妙に違う」「返信先が別」などの違和感があれば、メール以外の経路で本人確認するのが安全です。
Q3. SPF/DKIM/DMARCを入れれば、なりすましは完全に防げますか？
完全ではありませんが、なりすましメールを減らし、受信側で隔離・拒否しやすくする効果があります。あわせて多要素認証（MFA）や運用ルール（二重承認、別経路確認）を組み合わせることが重要です。
Q4. 代表からの「至急の振込指示」を止めると、業務が遅れませんか？
二重承認や別経路確認は一見手間ですが、詐欺被害の金額・信用失墜の影響は非常に大きいです。緊急時こそ「例外にしない」ルールを作り、承認を早く回す仕組み（ワークフロー化）で業務遅延を最小化します。
Q5. メール詐欺対策に、防犯カメラや入退室管理は関係ありますか？
関係します。精巧な詐欺メールは社内情報を踏まえて作られることがあり、重要エリアへのアクセス制御や記録（入退室管理、 防犯カメラ）で情報資産の取り扱いを引き締める効果があります。導入時はプライバシー配慮や社内規程の整備もあわせて行ってください。
この記事の制作者
粂井 友和
システム警備を提供して20年以上、お悩みを解決したお客様5,000件以上のSATで責任者を務めています。
防犯カメラや防犯センサーなどを活用した防犯システムを、様々な状況に適した形でご提案します。
お悩みがある方は、お気軽にお問い合わせください。
