フィッシングメール：「振込口座を変更しました」の一通で、だまされた企業は平均 SAR 461,000 を失う。防ぐための6つのステップ

御社に届く最も高くつくフィッシングメールには、ウイルスも怪しいリンクもありません。見慣れた取引先からの普通のメールに見え、銀行口座が変わったので次の請求書は新しいIBANに支払ってほしいと書かれています。FBIの2025年インターネット犯罪報告書では、ビジネスメール詐欺（BEC）と呼ばれるこの種の詐欺で 24,768 件の被害申告があり、損失は $3,046,598,558 に達しました。申告一件あたり約 $123,000、およそ SAR 461,000 です。対策の費用はほぼゼロです。受取人の銀行情報をメールだけを根拠に変更しないこと。自社の記録にある番号に電話して確認し、変更には二人目の承認を必須にしてください。（支払い承認の側面は、Binanceのハッキングと支払い承認の管理の記事で取り上げました。）

2026年のフィッシングメールはどんな姿か

かつての助言は「誤字を探せ」でした。もう通用しません。FBIの報告書によると、チャット生成ツールは企業のCEOや幹部になりすました公式な文面のメールを素早く作成でき、音声のクローンが送金の依頼に使われることもあります。2025年、FBIは人工知能に言及した申告を 22,000 件以上受け付け、損失は 8.93億ドル を超えました。企業はAIが使われたビジネスメール詐欺で 3000万ドル 以上の損失を報告しています。

ですから、文章の出来ではなく依頼の中身で判断してください。今も有効な警戒サインは次のとおりです。

• 銀行情報の変更、特に大きな支払いの直前。
• 緊急性と秘密保持：「今日中に支払って」「会議中なので電話しないで」「内密にお願いします」。
• ほぼ正しい送信元アドレス：ドメインの一文字だけが違う、または会社のドメインではなく無料メールアカウント。
• 通常の手続きを飛ばす依頼：上司が経理担当者に直接、システム外での送金を求める。

問題の背景にある数字

FBIのインターネット犯罪苦情センター（IC3）は2025年に 1,008,597 件の申告を受け、報告された損失は 208.77億ドル で、2024年から 26% 増加しました。フィッシングとなりすましだけで 191,561 件の申告がありました。ビジネスメール詐欺の申告は2024年の 21,442 件から2025年には 24,768 件に増えています。これは米国での申告でありサウジアラビアの数字ではありませんが、手口はどこでも同じです。犯人は銀行に侵入するのではなく、御社の社員自身にお金を送らせるのです。

同じ報告書には、あらゆる財務チームにとって最も役立つ教訓があります。スピードです。被害者がすぐに申告した場合、FBIの資産回収チームは銀行と協力して資金を凍結しました。2025年は 3,900 件の事案で $679,013,183 を凍結し、成功率は 58% でした。FBI自身の助言は、時間が勝負であり、すぐに銀行へ連絡して振込の組戻しを求めることです。

会社を守る6つのステップ

1. 銀行情報の変更にはすべて折り返し電話で確認。取引先、社員、パートナーの口座変更の依頼は、メールに書かれた番号ではなく、自社の記録にある番号に電話して確認します。誰も遠慮せず確認できるよう、社内ルールとして文書化してください。
2. 新しい受取人の登録は二人で。一人が新しいIBANを入力し、別の人が別の端末から承認します。銀行に法人向けポータルでこの機能を有効にするよう依頼してください。
3. メールに多要素認証を。サウジアラビア国家サイバーセキュリティ庁（NCA）のメール保護基準テンプレートは、Webメールとスマートフォンのメールアプリへのアクセス、およびメール管理者にMFAを求めています。ビジネスメール詐欺の多くは、盗まれたメールのパスワードから始まります。
4. 自社ドメインにSPF、DKIM、DMARCを。同じNCAのテンプレートはこの3つのレコードを求めており、他のサーバーが自社ドメインを装ったメールを拒否できるようになります。御社の名前をかたる偽メールから顧客と取引先を守ります。
5. フィルタリングと外部送信者の表示。NCAのテンプレートは、悪意あるリンクやフィッシングの試みを含む受信メールのブロックと、中リスクのメールの隔離を求めています。社外から届くすべてのメールに目立つ警告表示を加えてください。
6. 一ページの対応計画。お金が出てしまったら、すぐに銀行へ電話して組戻しを依頼し、メールのパスワードを変更し、自分で作成していない転送ルールがないか確認し、名前を使われた取引先に知らせます。

15分で社員に教えること

長い研修は必要ありません。3つの習慣を教えてください。送信元の完全なアドレスを確認すること、メールだけで届いた支払い依頼は決して実行しないこと、怪しいメールは削除せずに報告すること。そのうえで四半期に一回、無害なテストメールを送り、誰も責めずに結果を話し合います。すぐに報告するチームは、自分は絶対にクリックしないと思っているチームよりも価値があります。

Origamiの見解

私たちはフィッシングを、技術の問題である以前に業務プロセスの問題だと考えています。メールフィルターは必ずいくつかのメールを見逃し、AIは偽メールを毎月より本物らしくしています。変わらないのはシステム内のルールです。確認と二人目の承認なしに銀行情報を変更することは不可能でなければなりません。会計、購買、支払いのカスタムシステムを開発する際、私たちはこのルールをシステム自体に組み込み、受取人データのすべての変更を記録します。誰かの記憶に頼らないためです。メール設定や支払い承認の見直しをご希望の場合は、お問い合わせいただくか、サービスをご覧ください。

出典

• FBI Internet Crime Complaint Center — 2025 IC3 Annual Report：申告件数と損失の総額、ビジネスメール詐欺とフィッシングの数字、AI関連の申告、資産回収チームによる資金凍結の結果。
• 国家サイバーセキュリティ庁（NCA）— Email Protection Standard template：MFA、SPF、DKIM、DMARC、フィッシングメールのブロックに関する要件。