金曜の午後五時十分。支払担当の手元に、社長のアドレスから一通のメールが届く。件名は「至急対応依頼（社外秘）」。本文には、進行中の案件で先方への着手金を本日中に振り込む必要があり、詳細は月曜に説明する、他言無用、と書かれている。 担当者は課長の席を見る。課長は取締役会に出ていて、戻りは六時過ぎ。銀行の当日扱いの締切は五時三十分。 二十分後、担当者は振込を実行した。この二十分の間に、彼女は三回、送信ボタンの前で手を止めている。 被害の後の調査で分かったのは、止まったのに進んだ理由が、疑わなかったからではなく、疑ったことを言える手順がなかったからだということである。

POINT
対策を設計する前に、成功したときに何が起きるかを確定させておく必要がある。誤って振り込んだ資金は、着金した後は受取人の承諾がなければ組戻しができない。 銀行が振込人の申出だけで相手の口座から一方的に引き落とす手続きは存在せず、着金後は受取人が銀行に対して振込金相当の預金債権を持つことになるからである。つまり、送信した瞬間に、この件は社内の問題から社外の交渉に変わる。 規模も上がり続けている。米国連邦捜査局のインターネット犯罪苦情センターが公表した2025年の年次報告では、ビジネスメール詐欺の被害は24,768件、損失額は30億4,600万ドルで、損失額では投資詐欺に次ぐ2番目に大きい類型となっている。 同センターの2024年の報告では、資金回収を担う部門が金融詐欺キルチェーンの手続を用いて5億6,100万ドルを凍結し、その成功率は66パーセントとされているが、これは被害の直後に当局へ通報が入ることを前提にした数字である。 日本でも常連の脅威である。情報処理推進機構が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」では、ビジネスメール詐欺が組織編の10位に入り、2018年から9年連続の選出となっている。 事例も公表されている。日本航空は2017年12月、航空機のリース料と貨物委託料に関して取引先になりすましたメールにより、約3億8,000万円の被害を受けたことを公表した。 手口は、正規の請求書の「訂正版」として振込先を変更したPDFが、通常やりとりしている取引先の名前とアドレスから送られてきたというものである。2024年には香港警察が、多国籍企業の従業員がCFOと同僚に見せかけたディープフェイクのビデオ会議に参加させられ、複数の口座へ分割して総額2億香港ドル（当時の為替で約2,500万米ドル）を送金した事案を公表している。 後に被害企業は英国のエンジニアリング会社Arupであると同社が認めた。注意力で止める設計は、この相手を想定していない。

「疑ってよい」と書かなければ、担当者は止まれない

社内の対策資料に最も多く書かれている文言はこうである。不審なメールを受信した場合は、直ちに上長に報告すること。 この一文が機能しない理由は二つある。

第一に、不審かどうかの判定を担当者に求めている。取引先の名前とアドレスから、正規の請求書の訂正版として届く文書を、担当者が不審と判定できる根拠はない。 判定できないものについて「不審なら報告せよ」と書くのは、実質的に何も書いていないのと同じである。

第二に、そして決定的に、役員の名前が付いた急ぎの依頼を疑うことが、社内の行動として許されていない。 権力の勾配がある組織で、部下が上司の指示を疑い、確認のために時間を使うのは、通常は評価されない行動である。攻撃側はこの勾配を使っている。他言無用と書くのも、締切を当日にするのも、確認の経路を塞ぐためである。

したがって、書くべき文言は反対向きになる。役員または社長の名義で届いた、当日中の送金を求める依頼は、必ず別経路で確認する。確認によって支払が翌営業日にずれたことについて、担当者は一切の責任を負わない。 そして、確認された側、つまり役員の側にも義務を書く。確認の連絡を受けた役員は、いかなる状況でもこれに応じ、応じられない場合の代理の連絡先をあらかじめ登録しておく。

この二文がない会社では、担当者は毎回、自分の職業人生を賭けて判断していることになる（経理の不正を人の運用で防ぐ、連続休暇・ローテーション・兼務解消の実務）。

確認は、依頼が来た経路と別の経路で行う

宣言の次は、確認の方法である。ここで最も多い誤りが、確認の連絡先を、依頼のメールに書かれた番号にしていることである。

口座変更の依頼メールには、たいてい担当者の携帯番号が書かれている。書かれている番号にかけて本人が出れば、確認は完了したことになる。 攻撃側から見れば、これは確認の工程が一つも増えていない。

決めるべきことは三つある。第一に、確認の相手は、自社の取引先マスタに登録されている代表番号であること。 メールの署名欄でも、名刺でもなく、社内の台帳にある番号を使う。第二に、確認は電話または対面で行うこと。 メールへの返信は、返信先が書き換えられている場合に意味を持たない。第三に、確認した事実を、日時・相手の氏名・使用した番号とともに記録に残すこと。 記録が残らない確認は、後から「した」「していない」の話になる。

そして、この手順の適用範囲を役職で切らない。社長からの依頼であっても、金額が小さくても、長年の取引先であっても、口座に関する変更なら同じ手順を通す。 例外を一つ作ると、攻撃側はその例外を狙う。例外の条件は、社内文書に書かれていなくても、日々の運用から観察できるからである。

人の注意力に依存しない止め方は、この四段で成立する。
STEP 1
窓口を一本化する
取引先からの口座変更の依頼は、担当営業や現場ではなく、経理の指定した窓口でしか受け付けない。現場で受けて経理に転送する運用のままでは、確認の起点が分散して手順が通らない
→
STEP 2
別経路で確認する
確認先は取引先マスタに登録された代表番号のみ。メールの署名欄や依頼文書に記載された番号は使わない。確認の日時・相手の氏名・使用した番号を記録に残す
→
STEP 3
マスタ変更と支払実行を分ける
振込先口座のマスタを変更できる担当者と、支払を実行できる担当者を同一人物にしない。一人が両方を持つ限り、承認は形式になる
→
STEP 4
変更後の初回を監視する
口座変更の直後の初回振込を一定金額で区切る、または送金後の着金確認を先方に求める。変更から一定期間はモニタリングの対象として台帳に残す
土台土台＝役員名義の急ぎの依頼こそ確認してよいと規程に明記し、確認による遅延の責任を担当者に負わせないと宣言すること。宣言のない手順は、権力の勾配の前で飛ばされやすい。
止めるのは担当者の注意力ではなく、確認しないと次の工程に進めないという業務の形である。

権限は役職ではなく、工程で切る

手順を作っても、権限の切り方が変わっていなければ、実行の段階で崩れる。最も多い状態は、支払担当が振込先マスタの変更権限も持っていることである。

一人が両方を持っている場合、承認者が見ているのは支払依頼の画面だけになる。口座が変わっていることは、承認画面には出てこない。 承認者が見るべきなのは金額と支払先の名称で、口座番号を暗記している人はいない。したがって、口座が書き換えられた支払は、承認を素通りする。

分けるべきは、マスタを変更する工程と、支払を実行する工程である。 役職で切ると、課長は両方できて担当者は片方だけ、という形になり、課長が処理した案件で統制が消える。工程で切れば、役職に関係なく二人が関与する。

そのうえで、システム側に検知の仕組みを置く。振込先口座が前回の支払時と異なる支払依頼を、自動的に保留の対象にする。 承認画面に「口座変更あり」という表示が出るだけで、承認の質は変わる（SAPの自動支払処理から支払ブロックと手振込の例外が消えない原因と減らし方）。

少人数の経理部では、二人に分けられないという反論がまず出る。その場合の代替は、経理の外に出すことである。 口座変更の承認だけを、総務や情報システム部門など、支払の実行に関与しない部署の管理職に持たせる。分掌が組めない規模でも、承認だけなら外に出せる（少人数経理の職務分掌、3〜5人でどこまで内部統制を効かせられるか）。

起きた後の三十分を、先に手順にする

どれだけ組んでも、ゼロにはならない。そして、起きた後の初動が回収の可否を大きく左右する。 ここを手順にしていない会社が圧倒的に多い。

必要なのは、時刻順に並べた一枚である。第一に、取引銀行の法人窓口へ組戻しの依頼を出す。着金後は受取人の承諾が要るため成功率は高くないが、着金前であれば止まる可能性がある。時間との勝負になるので、担当者名と直通番号を平時から控えておく。 第二に、警察への相談。第三に、社内の報告先を、経理部長ではなくCFOと社長に直結させる。 経理部長で止まると、判断が一段遅れる。

そして、送金先が海外の場合は、時差が回収可能性に直結する。 相手国の銀行の営業時間内に凍結の依頼が届くかどうかが分かれ目になるため、平時に決めておくべきなのは、深夜や休日に発覚した場合に誰が動くかという一点である。

社内の扱いも先に決める。この種の被害の後、担当者が退職する例は珍しくない。 手順どおりに動いていた担当者を処分すれば、次から誰も報告しなくなる。規程に、確認を怠らなかった場合の免責を書いておくのは、次の一件を早く知るための投資である（会計不正が見つかった直後の初動、調査主体と監査法人への連絡の進め方）。

なお、この領域は経営が決める事項として整理されている。経済産業省と情報処理推進機構が2023年3月に公表した「サイバーセキュリティ経営ガイドライン Ver3.0」は、経営者が認識すべき3原則とサイバーセキュリティ経営の重要10項目で構成され、後者は経営者が担当幹部に指示すべき具体的な項目として提示されている。 支払の統制を情報システム部門の課題として置いたままにしている限り、経理の手順は変わらない。

決めるのは三つ

第一に、「疑ってよい」を規程に明文で書き、確認による遅延の責任を担当者から外す。 不審なメールは上長に報告せよという文言は、不審かどうかの判定を担当者に求めている点と、役員名義の急ぎの依頼を疑うことが社内の行動として許されていない点で機能しない。攻撃側は権力の勾配を使っており、他言無用と書くことも締切を当日にすることも、確認の経路を塞ぐための設計である。 したがって書くべきは、役員または社長の名義で届いた当日中の送金依頼は必ず別経路で確認すること、確認によって支払が翌営業日にずれても担当者は責任を負わないこと、そして確認の連絡を受けた役員はいかなる状況でもこれに応じ、応じられない場合の代理の連絡先を登録しておくことである。

第二に、確認の経路と権限の切り方を、依頼の内容ではなく工程で固定する。 確認先は自社の取引先マスタに登録された代表番号のみとし、メールの署名欄や依頼文書に記載された番号は使わない。確認は電話または対面で行い、メールへの返信は返信先が書き換えられている場合に意味を持たない。確認の日時、相手の氏名、使用した番号を記録に残す。適用範囲を役職や金額や取引年数で切らない。例外を一つ作れば、そこが狙われる。 権限は、振込先マスタを変更する工程と支払を実行する工程で分ける。役職で切ると課長が両方を持ち、課長が処理した案件で統制が消える。承認画面には口座番号が出ないため、前回と異なる口座への支払依頼を自動的に保留の対象にする仕組みを併せて置く。 二人に分けられない規模なら、口座変更の承認だけを支払の実行に関与しない部署の管理職に出す。

第三に、起きた後の三十分を、時刻順の一枚にしておく。 着金後の組戻しには受取人の承諾が必要で、銀行が振込人の申出だけで相手の口座から引き落とす手続きは存在しない。着金前であれば止まる可能性があるため、取引銀行の法人窓口の担当者名と直通番号を平時から控える。米国連邦捜査局のインターネット犯罪苦情センターの2024年の報告では、資金回収を担う部門が金融詐欺キルチェーンの手続で5億6,100万ドルを凍結し成功率は66パーセントとされているが、これは直後に通報が入ることを前提とした数字である。 社内の報告先はCFOと社長に直結させ、海外送金の場合は相手国の営業時間を考慮して深夜・休日の発動者を決めておく。そして、手順どおりに動いた担当者を処分しないことを規程に書く。処分する運用は、次の一件の発覚を確実に遅らせる。

設例

売上高290億円の建材商社。経理部は9名で、支払は月2回、取引先はおよそ1,100社。 見直しの契機は、未遂に終わった一件だった。海外から仕入れている資材メーカーの担当者名で、口座を別の国の銀行に変更するというメールが届き、支払担当がマスタを変更して支払依頼まで作成した。 止まった理由は統制ではなく偶然で、承認に回った経理課長が、前月にその取引先の別件で先方の経理担当と電話しており、変更の話を聞いていなかったことを覚えていたためである。課長が先方に電話をかけ、そのような依頼はしていないという回答を得た。金額は4,200万円。 CFOが調査させて分かったのは、三点だった。第一に、口座変更の依頼を受け付ける窓口が定まっておらず、営業経由、購買経由、経理直の三通りが並存していた。第二に、支払担当5名全員が振込先マスタの変更権限を持っていた。第三に、口座変更の際の確認手順が文書として存在せず、実務は担当者ごとに違っていた。 是正は窓口の一本化から始めている。取引先からの口座変更の依頼は、書式を定めたうえで経理の指定アドレスでのみ受け付け、営業や購買が受けた場合は転送せず、取引先に対して直接その窓口へ送るよう案内する運用に変えた。 確認手順は、取引先マスタの代表電話番号にかけることを必須とし、確認記録の様式を作って支払依頼に添付させている。権限は、マスタ変更を経理課長と主任の2名に限定し、この2名は支払の実行操作から外した。 システム側には、前回支払時と口座が異なる場合に支払ブロックがかかる設定を追加している。開発は既存パッケージの標準機能の設定変更で足り、費用は保守契約の範囲内だった。 併せて、社長名義のメールに関する扱いを規程に書いた。社長または役員の名義で当日中の送金を求める依頼が届いた場合、担当者は必ず本人の携帯へ直接架電して確認すること、確認により支払が翌営業日にずれた場合に担当者は責任を負わないこと、そして役員側は確認の架電に応じる義務を負うこと。 この三文を書くにあたって、社長本人から一つ注文が付いている。「自分が本当に急いでいる場合でも、確認なしで振り込ませない」と明記してほしい、というものだった。 導入から半年で、確認手順が発動した件数は31件。うち29件は取引先の正規の変更依頼で、2件は返答が得られず取引を保留した。 2件はいずれも取引先側の担当者交代に伴う連絡不備で、詐欺ではなかった。経理部長の言葉が残っている。以前は、疑って電話をかけること自体が失礼だと思われていた。いまは、かけないほうが手順違反になる。

※設例。会社、数値は説明のために置いた架空のもので、特定の会社の実績ではない。

まとめ
なりすましの送金指示は、担当者の注意力では止まらない。規程に「役員名義の当日中の依頼は別経路で確かめ、支払が遅れても担当者は責任を負わない」と書く。確認は取引先マスタの代表番号へ電話で行い、振込先マスタの変更と支払の実行は別の人に持たせる。発覚した後に誰がどの銀行へ連絡するかも、時刻順の一枚にしておく。

関連記事