「うちは狙われない」——その油断が一番危ない

ビジネスメール詐欺（Business E-mail Compromise：BEC）とは、取引先・経営幹部・弁護士などになりすました偽メールで従業員を騙し、攻撃者の口座へ送金させる詐欺です。

まず数字を見てください。FBI が 2026 年 4 月に公表した最新報告では、2025 年の BEC 被害件数は 24,768 件、被害総額は 約 30.5 億ドル（約 4,700 億円） に達しています。1 件あたりの被害額は 1 億円以上も珍しくなく、数十億円規模の事案も報告されています。

日本でも 2025 年 12 月以降、社長を騙る「CEO 詐欺」が急増しました。東京都内だけで 43 社が被害に遭い、うち 14 社が計 6 億 7,000 万円 を騙し取られています（毎日新聞 2026 年 1 月報道）。病院、銀行、SIer、メディアと業種を問わず被害が確認されており、「大企業の話」でも「英語圏の話」でもありません。

では、攻撃者はなぜここまで精巧に騙せるのでしょうか。その答えは「攻撃の前段階」にあります。

攻撃者はメールを送る前に、あなたの会社を徹底的に調べている

BEC は「騙しのメール」を送れば終わりではありません。攻撃者はその前に、ターゲット企業の「地図」を丹念に描くフェーズを経ています。この事前情報収集のことをセキュリティ用語でフットプリンティングと呼びます。

Step 1｜公開情報（OSINT）で組織図を把握する

フットプリンティングに使われる情報源の多くは、誰でもアクセスできる公開情報です。これを体系的に収集・分析する手法を OSINT（オープンソース・インテリジェンス）といいます。

攻撃者が特に注目する情報源はおおむね以下のとおりです。

企業の公式サイト・プレスリリース
役員紹介ページには名前・肩書が並んでいます。プレスリリースには「A 社と業務提携」「新規事業で B 社と共同開発」といった取引先情報が記されています。攻撃者はこれを読んで「誰が・誰と・どんな業務をしているか」を把握します。

LinkedIn・X（旧 Twitter）などの SNS
「先週、〇〇社の山田さんと打ち合わせしてきました」「今期から新しいプロジェクトが始まります」——従業員の何気ない投稿が、組織の内側を教えてしまいます。業務内容・決裁フロー・取引先の担当者名が SNS から浮かび上がることは珍しくありません。

法人番号公表サイト・登記情報
会社の正式名称・所在地・設立日などが確認できます。グループ企業の構造を把握する際にも使われます。

WHOIS 情報とメールヘッダ
企業が持つドメインの登録者情報を WHOIS で確認すると、管理者の名前や連絡先メールアドレスが露出しているケースがあります。さらに、公開資料に記載されたメールアドレスのフォーマット（firstname.lastname@example.com など）から命名規則を推測し、他の役員・担当者のメールアドレスを生成することも可能です。

擬似シナリオで考えてみましょう
攻撃者は A 社の IR ページから CFO の名前と経営企画部長の名前を把握し、LinkedIn でその経営企画部長が「海外送金の実務を担当」と自己紹介しているのを発見しました。WHOIS から確認したメールアドレスの命名規則をもとに CFO のメールアドレスを推測し、「CFO からの緊急送金指示」を経営企画部長に送りつけました——これが BEC の典型的なシナリオです。

Step 2｜ダークウェブで「鍵」を手に入れる

公開情報だけではなく、攻撃者はより強力な武器を手に入れることがあります。それが**漏洩したクレデンシャル（ID・パスワード）**です。

過去に発生した大規模なサービス侵害（SaaS・EC サイト・SNS など）で盗まれたアカウント情報は、ダークウェブ上のマーケットで売買されています。こうした漏洩データに自社ドメインのメールアドレスが含まれていた場合、攻撃者は次のような経路で侵入を試みます。

  1. 漏洩したパスワードをそのまま、または少し変形させて Microsoft 365 や VPN に試し入力する（クレデンシャルスタッフィング攻撃）
  2. ログインに成功したら、メールボックスを静かに閲覧する
  3. 進行中の取引・送金・請求書のやり取りを把握する
  4. 会話の途中に割り込み、支払い口座を攻撃者のものに変更するよう指示する

この「メール乗っ取り型 BEC」は最も検知が難しい手口です。本物のアカウントから本物のスレッドに返信するため、受信者は違和感を覚えにくいのです。

そして重大な事実があります。情報漏洩が発覚するまでの平均期間は 200 日以上とも言われています。つまり、「気づいたときにはすでに半年以上、攻撃者がメールを読んでいた」という状況が現実に起きています。

Step 3｜AI で「完璧な日本語メール」を量産する

以前は「不自然な日本語だから詐欺だとわかる」という判断基準がありました。しかしこれはもう通用しません。

AI を使えば、OSINT で収集した情報をもとに、受信者の名前・役職・関係性・業務内容に合わせてパーソナライズされた自然な日本語メールを大量に生成できます。実際、FBI の 2025 年報告では AI を活用した BEC 詐欺だけで新たに 3,000 万ドル以上の被害が記録されています。

さらに 2025 年末から確認されている新手口では、メール単体ではなく「まず LINE グループに招待し、SNS 上でやり取りしながら送金させる」という流れも登場しています。メールフィルタをすり抜けるための進化です。

企業として今すぐ見直すべき 3 つのこと

1. 「攻撃者の目線」で自社の公開情報を棚卸しする

自社のウェブサイト・SNS・プレスリリースを見直してください。

  • 役員の直通メールアドレスが記載されていないか
  • 「○○社と取引中」「△△社の担当者と連携」といった情報が無用に公開されていないか
  • 従業員の SNS で、業務の詳細・取引先・決裁フローが意図せず流れていないか

公開情報を最小化することは、攻撃者のフットプリンティングのコストを上げ、他の標的に誘導する効果があります。すぐにできる対策の第一歩です。

2. 技術的な対策：M365 の設定を総点検する

BEC はメールを入口に使うため、メール基盤の設定が直接的な防御線になります。

SPF / DKIM / DMARC の設定確認
自社ドメインになりすましたメールを弾くための基本設定です。DMARC が p=reject または p=quarantine になっているかを確認してください。設定が p=none（監視モード）のままになっているケースは非常に多く見られます。

Defender for Office 365 のなりすまし対策
Impersonation Protection（ユーザー偽装保護）を有効にすると、自社の役員名や取引先になりすましたメールを検知・隔離できます。「表示名は社長だがドメインが違う」というパターンを自動判定します。

条件付きアクセスと MFA の徹底
クレデンシャルスタッフィングで Microsoft 365 に不正ログインされることを防ぐには、多要素認証（MFA）の全員適用が最低ラインです。さらに条件付きアクセスで「登録外デバイスや海外 IP からのログインをブロック」することで、クレデンシャルが漏洩していても不正ログイン自体を防げます。

Entra ID サインインログの監視
不正ログインは「いつもと違うサインイン」として記録されています。以下の KQL を Sentinel のカスタムルールに登録しておくと、不審なサインインをリアルタイムに検知できます。

3. プロセス的な対策：「電話確認」を規程に落とし込む

技術だけでは防ぎきれません。人的なプロセスの整備が不可欠です。

具体的には、以下のケースでは必ず電話で二重確認するというルールを社内規程に明記します。

  • 振込先口座の変更依頼
  • 経営幹部からの緊急送金指示
  • 普段と異なる経路・手段での依頼（LINE・WhatsApp など）

「メールだけで完結させない」というシンプルなルールが、BEC の多くを防ぎます。ISMS の「情報の分類と管理（A.5.12）」「アクセス制御（A.5.15）」の観点からも、このプロセスを文書化しておくことで審査時の説明がスムーズになります。

「すでに漏れているかもしれない」という前提に立つ

ここまでの対策は「攻撃を防ぐ」ための施策です。しかしもう一つ、重要な視点があります。

自社のクレデンシャルはすでにダークウェブに流れているかもしれない。

過去に利用した SaaS サービスや EC サイトが侵害を受け、そこで登録した業務メールアドレスとパスワードが漏洩していても、あなたの会社には何の通知も来ません。そしてその情報が、今まさに BEC 攻撃の入口として使われようとしているかもしれません。

だからこそ必要なのが、ダークウェブモニタリングです。

ダークウェブモニタリングとは、自社ドメインのメールアドレスや認証情報がダークウェブ上のデータベース・フォーラム・マーケットプレイスに出回っていないかを継続的に監視するサービスです。漏洩を検知した際には、以下のような対応をただちに取ることができます。

  • 対象アカウントのパスワードを強制リセット
  • MFA の再登録を促す通知
  • Entra ID サインインログとの突合で不正ログインの痕跡を確認
  • 必要に応じてアカウントを一時停止し、SOC で精査

「気づいてから対処する」ではなく「漏れたと同時に知る」体制を持つことが、BEC 被害の最小化に直結します。

おわりに：「備えた組織」と「狙われ続ける組織」を分けるもの

BEC への有効な対策は、単一の製品や設定変更で完結しません。

  • 公開情報の棚卸し（フットプリンティングへの対策）
  • M365 の技術的設定（なりすましメールと不正ログインのブロック）
  • プロセスの整備（電話確認の制度化）
  • ダークウェブモニタリング（クレデンシャル漏洩の早期検知）
  • SOC による異常ログインのリアルタイム監視

これらを組み合わせて初めて、実効性のある対策になります。

そしてこれは、通常業務と兼任しながら一人のセキュリティ担当者が回せる範囲を確実に超えています。

「自社ドメインの漏洩状況を確認したい」「Sentinel での異常ログイン検知を始めたい」「ダークウェブモニタリングを SOC と組み合わせて運用したい」——そうお考えの方は、ぜひ Colorkrew Security にご相談ください。

本記事は 2026 年 5 月時点の情報に基づいています。BEC の手口や統計は変化しますので、最新情報は IPA「ビジネスメール詐欺（BEC）対策特設ページ」や FBI IC3 の年次報告書も合わせてご確認ください。