振込先変更メールを信じない経理へ｜BEC・ニセ社長詐欺を防ぐ支払統制

取引先から「振込先が変わりました」とメールが届く。請求書も署名も不自然ではない。担当者は内容を確認し、取引先マスターを更新する。

よくある流れですが、ここに大きな穴があります。

ビジネスメール詐欺（BEC）では、実在する取引先や経営者を装い、偽の口座へ送金させます。正規のメールアカウントが乗っ取られていれば、差出人アドレスも過去のやり取りも本物です。文面を注意深く読むだけでは防げません。

振込先変更は、メールだけで完結させない。これが当事務所の結論です。メールは依頼の入口にとどめ、本人確認、マスター変更、支払実行を別々の手続にします。

メールへ返信しても本人確認にはならない

IPAのBEC対策資料は、突然の振込先変更や急な送金依頼に注意し、メール以外の方法で確認する手順を社内規程へ組み込む必要性を示しています。

確認に使うのは、変更依頼のメールに書かれた電話番号ではありません。以前から取引先マスターや契約書に登録されている電話番号です。届いたメールへそのまま返信しても、相手が攻撃者なら確認になりません。

確認記録は簡潔で構いません。ただし、次の内容は残します。

いつ確認したか
どの連絡先を使ったか
誰に確認したか
何を確認したか
誰が確認したか

「電話確認済み」だけでは、後から経緯を追えません。

口座変更と最初の支払を別々に承認する

振込先変更は、次の四つに分けると運用しやすくなります。

手続	担当者がすること	残すもの
受付	依頼を受けても、すぐにマスターを変えない	メール、変更依頼書、請求書
本人確認	既登録の連絡先へ電話などで確認する	確認日時、相手、確認内容
マスター変更	変更者とは別の人が内容を承認する	変更前後の口座情報、承認者
初回支払	請求内容と新しい口座を再確認する	請求書、発注・検収、支払承認

ポイントは、口座変更を承認したら終わりにしないことです。正しい依頼でも、口座番号の転記ミスや請求書の取り違えは起こります。変更後の初回支払や一定額以上の支払には、もう一度承認を入れます。

取引先マスターの変更者、支払データの作成者、オンラインバンキングの承認者を分けられれば理想的です。少なくとも、一人が口座変更から送金までを続けて処理できる状態は避けます。

「社長案件」でも通常の承認を外さない

警察庁の注意喚起では、実在する経営者名を使って法人へメールを送り、SNSグループへ誘導した後、「事業資金が至急必要」などとして送金させる手口が紹介されています。

「至急」「秘密にしてほしい」「いつもの承認は後でよい」。こうした依頼が来ても、通常の承認経路は外しません。経営者本人からの依頼かどうかを、普段使っている電話番号などで確認します。

緊急時に社長へ連絡できない会社は、代わりに誰が承認するかを先に決めておきます。代替承認者がいなければ、その支払は保留です。急ぎであることと、確認を省くことは別の話です。

少人数なら、人だけでなく時間も分ける

経理担当者が一人しかいない会社では、すべての担当を分けられません。その場合は、確認経路と処理時間を分けます。

たとえば、経理担当者が既登録の電話番号へ確認し、経営者が確認記録と変更前後の口座を承認する。支払データは経理が作り、銀行での最終承認は経営者が行う。変更した当日は支払わず、翌営業日に請求書と口座をもう一度見る。この形でも、一人が一度に完結させるより事故を減らせます。

経営者の承認を、単なるクリックにしないことも大切です。承認時に見る項目を決めておきます。

既登録の連絡先で本人確認したか
変更前後の口座情報が残っているか
発注、検収、請求の内容が一致しているか
今回が変更後の初回支払か
金額は社内の承認基準内か

オンラインバンキングの設定も見直す

会計システムで承認を分けても、同じIDで支払データの作成から送信までできれば、最後の歯止めがありません。利用している銀行の機能に応じて、データ作成者と承認者、管理者と利用者を分けます。承認上限額も確認します。

退職者や異動者の権限が残っていないか、利用者と上限額を定期的に棚卸しします。金融庁は2026年4月、金融機関をかたるフィッシングによる不正送金等の増加を踏まえ、フィッシング耐性のある多要素認証について広報しています。利用できる認証方式や振込時の追加認証も、取引銀行へ確認してください。

ただし、多要素認証だけでBECは防げません。正規の担当者がだまされ、自分で承認してしまうことがあるからです。本人確認と支払承認を先に整え、そのうえで認証を強くします。

送金してしまったら、まず銀行へ連絡する

誤った口座へ送金した可能性があれば、社内調査を終える前に取引銀行へ連絡し、組戻しなどの対応を相談します。経過時間や相手口座の状況によって対応は変わり、資金の回収は保証されません。

その後、警察へ相談します。警察相談専用電話は#9110です。メール、添付ファイル、請求書、メールヘッダー、チャット履歴、支払承認記録、振込結果は削除せずに保存します。

IPAの被害発生時の案内は、メールが見られている可能性を踏まえ、別の方法で取引先へ連絡することや、関係者のメールアカウントのパスワード変更などを案内しています。同じメールへの返信で確認を続けないでください。パスワードに加え、ログイン中のセッション、転送設定、メールの振分けルール、追加された認証手段も確認します。

月に一度、変更後の支払まで見る

規程を作るだけでは不十分です。月に一度、取引先マスターの変更一覧と、その後の支払を並べて確認します。

見るのは、本人確認記録のない変更、承認前の更新、変更直後の高額支払、同じ担当者が変更から送金まで行った取引です。件数が少なければ、表計算ソフトでも管理できます。大切なのは、例外を後から追えることです。

まとめ

振込先変更メールは、メールの真偽を見抜く仕事ではありません。

既登録の連絡先で確認する。口座変更と初回支払を別々に承認する。オンラインバンキングでも作成者と承認者を分ける。この三つを先に決めます。

事故時の連絡順も平時に用意してください。銀行、警察、取引先、社内責任者へ、誰がどの手段で連絡するかを一覧にしておきます。具体的な支払統制は、会社の人数、取引金額、利用している会計システムと銀行機能によって変わります。取引金融機関や専門家へご相談ください。

参考

情報処理推進機構（IPA）「企業組織を狙うメールを悪用した攻撃の手口とその対策」（2026年8月3日公表）
情報処理推進機構（IPA）「ビジネスメール詐欺（BEC）対策特設ページ」
情報処理推進機構（IPA）「もし詐欺被害に遭ってしまったら」
警察庁「法人を対象とした詐欺（ニセ社長詐欺）に注意！」（2026年2月13日公表）
金融庁「フィッシング耐性のある多要素認証等に係る官民一体・業界横断的な広報について」（2026年4月16日公表）