中小企業の社長なりすましメール対策、送金被害を防ぐ7つの確認手順と運用法

「今すぐこの口座へ振り込んでください。取引先には私から説明します」。社長名で届くメールは、忙しい経理担当者ほど判断を急がせます。けれど、送金を急がせること自体が、社長なりすましメール対策で最初に疑うべきサインです。

これは大企業だけの問題ではありません。社長や役員の氏名、取引先、事業内容は、会社案内やホームページ、SNS、求人情報などからある程度調べられます。公開情報が多いほど危険という話ではありませんが、公開している情報を前提に、社内の確認手順を整えておく必要があります。

被害を防ぐ中心は、高価なツールを入れることではなく、「メールだけで送金・口座変更を確定させない」という会社の運用です。技術対策と人の確認を分けずに整えることで、会社の信用を守りやすくなります。

社長なりすましメール対策で知っておきたい手口

社長なりすましメールは、一般にビジネスメール詐欺と呼ばれる手口の一つです。攻撃者は社長、役員、取引先、士業、金融機関などを装い、振込先の変更や緊急送金、請求書の差し替えを求めます。

単純に社長の名前を表示しただけのメールもあります。一方で、実在の担当者のメールアカウントが乗っ取られ、過去のやり取りを引用して送られる例もあります。この場合、文面や署名が自然で、いつものメールスレッドに返信する形で届くことさえあります。

「差出人名が社長だから大丈夫」「取引先との過去メールに続いているから本物」とは判断できません。メールアドレスの一文字違い、返信先だけ別アドレス、普段と異なる言い回し、急な機密扱いの指示などを確認する必要があります。ただし、違和感のある日本語だけを見分け方にすると、精巧な詐欺には対応しきれません。最終的には、別の経路で確認する仕組みが必要です。

まず止めるべきは「メールだけで決める」運用です

中小企業では、経営者、経理、営業の距離が近く、普段は口頭の一言で業務が進むことも少なくありません。そのスピードは強みですが、送金や口座変更については、例外なく確認するルールを決めた方が安全です。

ポイントは、確認の手間を増やしすぎないことです。全てのメールを疑って業務を止めるのではなく、被害額が大きくなりやすい場面に確認を集中させます。具体的には、新規の振込先登録、既存取引先の口座変更、通常と異なる金額の送金、急ぎの支払い依頼が対象になります。

社長本人が「急いでいる」と言っているように見えるメールでも、登録済みの電話番号や社内チャット、対面など、メール以外の手段で確認します。メールに書かれた電話番号へかけてはいけません。その番号自体が攻撃者のものかもしれないためです。

送金被害を防ぐ7つの確認手順

一度に完璧な規程を作ろうとすると、運用されなくなります。まずは経理担当者と経営者が合意できる、次の7つから始めると現実的です。

1. メールだけの指示で口座情報を変更しない

取引先から口座変更の連絡があっても、メールだけでマスタ情報を書き換えないルールにします。取引先台帳にある代表電話番号など、事前に信頼できる連絡先へ確認します。

2. 確認相手を本人以外にも設定する

社長が出張中、担当者が休暇中といった場面で確認が止まらないよう、承認者と代替承認者を決めます。小規模な会社ほど、特定の一人に判断が集中しがちです。

3. 金額ではなく条件で二重承認にする

「100万円以上」のような基準だけでは、少額を複数回に分ける手口に対応しにくくなります。口座変更、新規取引、至急依頼、海外送金など、条件でも二重承認を求めます。

4. 依頼メールの表示名、送信元、返信先を分けて見る

多くのメールソフトでは表示名だけが目立ちます。実際の送信元アドレスと返信先アドレスを表示する方法を、経理担当者が確認できるようにしておきます。

5. 請求書の変化を記録する

請求書の振込先、請求元住所、担当者名、振込期限に変更があった場合は、確認した日時と確認者を残します。後から責任を問うためではなく、同じ確認を繰り返さないための記録です。

6. 「急ぎ」「内密」を承認条件にしない

詐欺メールは、相談させないために秘密保持や緊急性を強調します。急ぎの案件ほど確認を省略するのではなく、確認方法を変えるという共通認識を持ちます。

7. 誤送金に気付いたときの連絡順を決める

万一送金してしまった場合、現場が迷わないよう、金融機関への連絡担当、社内報告先、メール保全の担当を決めます。送信メールを削除したり、相手に返信を重ねたりする前に、画面やメールヘッダーを保存することも大切です。

メール認証は必要ですが、それだけでは防げません

なりすまし対策では、SPF、DKIM、DMARCというメール認証の設定がよく挙げられます。これは、自社ドメインを名乗る不正なメールを受信側が判定しやすくするための仕組みです。自社名義で取引先や求職者にメールを送る企業にとって、会社の信用を守る土台になります。

ただし、認証設定だけで全ての詐欺メールを止められるわけではありません。似たドメインから送る手口、取引先の正規アカウントを乗っ取る手口、フリーメールを使う手口には別の確認が必要です。また、設定を誤ると、自社が送るメールまで届きにくくなる場合があります。

そのため、メール認証は「設定したか」だけで終わらせず、利用中のメール配信サービス、問い合わせフォーム、自動返信、採用管理ツールなども含めて送信経路を整理してから進めます。担当者の退職や制作会社との関係終了で、DNSやドメインの管理者が不明になっている会社は、先に管理情報を棚卸しする方が安全です。

ホームページ運用も、メール対策と切り離せません

社長なりすましメールとWordPress保守は、別の課題に見えるかもしれません。しかし、ドメイン管理、管理者アカウント、問い合わせフォーム、公開情報の見直しは、どちらにも関わります。

たとえば、ドメインの更新権限が元担当者の個人メールに紐づいている、フォーム通知が退職者へ届く、WordPress管理者が不要なまま残っている、といった状態は見過ごされやすい部分です。これらが直ちに社長なりすましにつながるわけではありませんが、会社の情報管理としては整えておきたい項目です。

ホームページで役員名や組織情報を公開すること自体をやめる必要はありません。信頼形成に役立つ情報もあります。大切なのは、公開情報、メール運用、ドメイン管理、社内の承認手順をばらばらにせず、誰が何を管理しているかを把握することです。Web資産を長く活用するためにも、管理権限は会社として持つ状態にしておきます。

社員教育は「見破る訓練」より「止められる空気」をつくる

対策研修では、怪しいメールを見分ける知識に偏りがちです。しかし実務では、見破れなかったとしても送金前に止められれば被害を防げます。

経理担当者が「社長の依頼に確認を入れてよいのか」とためらう会社では、ルールがあっても機能しません。経営者自身が、送金や口座変更は確認されて当然だと繰り返し伝えることが効果的です。確認されたことを評価する文化は、メール詐欺だけでなく、請求ミスや発注ミスの予防にもつながります。

年に一度の研修だけで済ませず、実際に届いた不審メールを個人情報に配慮して共有し、「この場合はどこへ確認するか」を短く話す機会を作るとよいでしょう。兼任担当者しかいない会社では、A4一枚程度の確認フローを経理ソフトの近くに置く方法も有効です。

自社で確認できることと、相談した方がよいこと

まず自社でできるのは、送金・口座変更時の確認経路を決めること、登録済み連絡先を見直すこと、メールやドメインの管理者を一覧化することです。これだけでも、対策の抜けを見つけやすくなります。

一方で、メール認証のDNS設定、ドメイン移管の判断、WordPressやフォームの管理権限整理、メール不達の調査は、環境によって確認すべき点が異なります。設定を急ぐより、現在の運用を把握した上で進める方が、日常業務への影響を抑えられます。

+STOCKでは、WordPress保守（Web／EC）やWeb分析レポート／改善とあわせて、サイト、ドメイン、問い合わせ導線の管理状況を長期目線で整理します。すでにあるホームページを資産に変えるには、集客施策の前に、会社として管理できる状態を整えることも欠かせません。

社長なりすましメール対策は、完璧に見破るための競争ではありません。迷った人が止められ、別の経路で確かめられ、管理情報を引き継げる状態をつくることです。まずは次の送金や口座変更の前に、誰がどの方法で確認するのかを一度、社内で言葉にしてみてください。