BECとは？ビジネスメール詐欺の手口・被害事例・対策を徹底解説

「取引先から突然、振込先変更のメールが届いた」
「社長から緊急の送金依頼が来た」
「メールのやり取りをしていた相手から請求書が送られてきた」

このような状況で、何の疑いもなく送金してしまうと、企業に大きな損害が発生する可能性があります。

近年、企業を狙ったサイバー攻撃の中でも特に注意したいのが、**BEC（Business Email Compromise：ビジネスメール詐欺）**です。

BECは、単純な迷惑メールやフィッシングメールとは異なり、経営者や取引先、担当者などになりすまして、企業の従業員を巧みに誘導します。

しかも、必ずしも高度なマルウェアを送り込む必要はありません。攻撃者がメールのやり取りを盗み見たり、アカウントを乗っ取ったり、公開情報を調査したりすることで、実際の業務に紛れ込むことができます。

本記事では、BECの意味や仕組み、代表的な手口、被害が発生するまでの流れ、フィッシング詐欺との違い、企業が取り組むべき対策について詳しく解説します。

BECとは、**Business Email Compromise（ビジネスメール詐欺）**の略称です。

企業や組織で利用されているメールを悪用し、経営者や役員、従業員、取引先などになりすまして、金銭の振り込みや機密情報の送信などを要求するサイバー犯罪です。

日本語では一般的に「ビジネスメール詐欺」と呼ばれています。

BECの大きな特徴は、攻撃者が単純に大量のメールを送りつけるのではなく、実際のビジネス上のコミュニケーションに入り込もうとすることです。

例えば、

「先ほどの請求書についてですが、弊社の銀行口座が変更になりました。今後はこちらの口座へお振り込みください。」

といったメールが届いたとします。

文章としては不自然ではありません。

送信者も普段やり取りしている取引先に見え、内容も実際の取引に関連しています。

そのため、受信者が「これは詐欺メールだ」と気付くのが難しくなります。

BECでは、このような企業の日常業務そのものを攻撃対象にする点が大きな特徴です。

BECが危険視されている理由は、企業に直接的な金銭被害を発生させる可能性が高いからです。

一般的な迷惑メールの場合、広告メールや不審なリンクなどが送られてきます。

一方、BECでは、

• 経営者になりすます
• 取引先になりすます
• 実在する担当者になりすます
• メールアカウントを乗っ取る
• 実際の取引内容を利用する
• 請求書を偽造する
• 振込先を変更させる

といった手口によって、従業員に「通常の業務」と思わせたまま行動させます。

つまり、セキュリティ担当者だけでなく、経理、営業、総務、購買など、メールを利用するほぼすべての従業員が攻撃対象になる可能性があります。

BECにはさまざまなパターンがあります。

ここでは、企業が特に注意すべき代表的な手口を紹介します。

代表的なのが、社長や役員になりすまして送金を指示する手口です。

例えば、

「現在、重要な案件を進めている。至急、指定口座へ送金してほしい」

といったメールを経理担当者に送ります。

攻撃者は、会社のWebサイトやSNS、ニュース記事などから役員の名前や役職を調査している場合があります。

さらに、

• 出張中
• 会議中
• 秘密案件
• 緊急案件

などの理由を付けることで、電話確認などをさせないように誘導します。

「今は電話に出られないので、メールだけで対応してほしい」

といった指示がある場合は、特に注意が必要です。

取引先の担当者になりすまして、振込先を変更させる手口も代表的です。

例えば、普段から取引している会社から、

「次回のお支払いから振込先口座が変更になります」

というメールが届きます。

メールの内容だけを見ると、通常の請求関連の連絡に見えます。

しかし、実際には攻撃者が取引先のメールアカウントを乗っ取っていたり、偽のメールアドレスを使っていたりする可能性があります。

そのまま振り込んでしまうと、攻撃者が用意した口座に資金が送られてしまいます。

BECでは、攻撃者が企業のメールアカウントそのものを不正利用するケースがあります。

例えば従業員がフィッシングメールにだまされ、IDやパスワードを入力してしまったとします。

攻撃者がその認証情報を入手すると、メールアカウントへ不正ログインされる可能性があります。

アカウントを乗っ取られると、

• 過去のメールを読む
• 取引先を確認する
• 請求書の情報を確認する
• 社内の担当者を把握する
• メールのやり取りを監視する
• 本物のメールに割り込む

といったことが可能になります。

これがBECをさらに見破りにくくする原因となります。

企業間取引では、メールで請求書をやり取りすることがあります。

BECでは、この請求書を攻撃者が改ざんしたり、偽の請求書を送ったりする場合があります。

例えば、

「添付の請求書をご確認ください」

というメールとともに、偽の請求書が送られてきます。

請求金額自体は正しくても、振込先だけが攻撃者の口座になっているケースも考えられます。

そのため、請求書の金額だけを確認して「問題ない」と判断するのは危険です。

BECでは、メールアドレスそのものを完全に偽装するだけではありません。

メール本文に、

「今後はこちらのアドレスへ返信してください」

などと記載し、攻撃者が用意したメールアドレスへ誘導することがあります。

一度攻撃者とのやり取りに切り替わってしまうと、その後のコミュニケーションも自然に見えるため、被害が長期化する可能性があります。

近年は、生成AIの普及によってBECの手口がさらに高度化する可能性があります。

以前の詐欺メールでは、

• 不自然な日本語
• 誤字脱字
• 不自然な文章
• 翻訳調の表現

などが見破る手がかりになることがありました。

しかし、生成AIによって自然な文章を作成することが容易になれば、「日本語が不自然だから怪しい」という判断だけでは十分ではありません。

さらに、公開情報から企業や人物について調査し、その人物らしい文体や業務内容に合わせたメールを作成することも考えられます。

そのため今後は、「文章が自然だから本物」という判断をしないことが重要になります。

BECとフィッシング詐欺の違い

BECとフィッシング詐欺は似ていますが、目的や攻撃方法には違いがあります。

フィッシング詐欺では、

• ID
• パスワード
• クレジットカード情報
• 個人情報

などを盗む目的で、偽のWebサイトへ誘導するケースが代表的です。

一方、BECでは、企業の業務プロセスを利用して、

「本来送金するはずのお金を攻撃者へ送らせる」

ことが大きな目的となります。

もちろん、BECの入口としてフィッシング攻撃が使われることもあります。

例えば、

1. 従業員にフィッシングメールを送る
2. ID・パスワードを盗む
3. メールアカウントへ不正アクセスする
4. メールを監視する
5. 取引情報を収集する
6. 取引先になりすます
7. 振込先変更を依頼する

という流れです。

つまり、フィッシングとBECは別々の問題ではなく、一連の攻撃として組み合わされる場合があると考える必要があります。

BECの典型的な攻撃シナリオ

BECによる被害は、次のような流れで発生することがあります。

STEP1：情報収集

攻撃者が企業のWebサイトやSNSなどから、

• 社長
• 経理担当者
• 営業担当者
• 取引先
• 取引内容

などの情報を集めます。

STEP2：アカウントを狙う

フィッシングなどを利用して、メールアカウントの認証情報を盗みます。

STEP3：メールを監視する

不正アクセスしたアカウントから、企業内外のメールを確認します。

STEP4：適切なタイミングを待つ

請求や送金など、攻撃に利用できそうな取引を見つけます。

STEP5：偽の指示を送る

「振込先が変わった」「至急送金してほしい」などのメールを送ります。

STEP6：送金

担当者が正規の業務だと判断し、攻撃者の口座へ送金してしまいます。

このように、BECは単発の攻撃ではなく、情報収集から送金まで段階的に進む攻撃になることがあります。

BECを見破るためのチェックポイント

BECを完全に防ぐことは簡単ではありません。

しかし、以下のようなポイントを確認することで、被害リスクを下げることができます。

振込先変更には注意

特に重要なのが、振込先変更の依頼です。

メールだけで振込先を変更せず、

• 電話
• 既存の連絡先
• 対面
• 別の通信手段

などを利用して、本人に確認するルールを設けることが重要です。

「緊急」「至急」に注意

攻撃者は、相手に考える時間を与えないため、

「本日中に対応してください」

「至急お願いします」

「極秘案件です」

などの表現を利用することがあります。

緊急性を強調された場合ほど、通常の手続きに戻って確認することが重要です。

メールアドレスを確認する

表示名だけではなく、実際のメールアドレスを確認しましょう。

例えば、

「山田太郎」

と表示されていても、実際のメールアドレスが普段と違う可能性があります。

ただし、攻撃者が正規アカウントを乗っ取っている場合、メールアドレス自体が本物であることもあります。

そのため、メールアドレス確認だけで安全と判断しないことも重要です。

企業が取り組むべきBEC対策

BEC対策では、一つのセキュリティ製品だけに頼るのではなく、複数の対策を組み合わせることが重要です。

1．多要素認証を導入する

メールアカウントの不正ログインを防ぐために、多要素認証（MFA）の導入を検討しましょう。

IDとパスワードだけでなく、認証アプリやセキュリティキーなどを組み合わせることで、不正ログインのリスクを低減できます。

2．強固なパスワードを利用する

複数のサービスで同じパスワードを使い回すのは避けましょう。

サービスごとに異なるパスワードを設定し、必要に応じてパスワードマネージャーを利用することも有効です。

3．メールセキュリティを強化する

BEC対策では、メールそのものを守る仕組みも重要です。

代表的な対策として、

• スパムメール対策
• ウイルス対策
• フィッシング対策
• 添付ファイル検査
• URLチェック
• なりすまし対策
• メール送信者認証
• メール監査

などがあります。

SPF、DKIM、DMARCといった送信ドメイン認証技術も、なりすましメール対策として重要です。

4．送金ルールを見直す

BECはメールだけで完結する問題ではありません。

重要なのは、メールを受信した後の業務プロセスです。

例えば、

「メールだけで振込先変更を受け付けない」

「一定額以上の送金には二重承認を必要とする」

「新規口座への送金には電話確認を行う」

といったルールを設定します。

セキュリティ製品を導入しても、人間の判断だけで送金してしまえば被害を防げない可能性があります。

5．従業員へのセキュリティ教育

BEC対策では、従業員教育が非常に重要です。

特に、

• 経理
• 財務
• 総務
• 営業
• 購買
• 経営層

など、送金や取引情報を扱う部署には重点的な教育が必要です。

「怪しいメールを開かない」という基本的な教育だけではなく、

「取引先から振込先変更の連絡が来た場合、どう対応するか」

まで具体的に決めておくことが重要です。

6．メールアーカイブを活用する

メールアーカイブもBEC対策の一環として活用できます。

過去のメールを安全に保存しておけば、

「本当にこの取引先から送られてきたメールなのか」

「以前の振込先はどこだったのか」

「過去に同じような連絡があったか」

などを確認できます。

また、万一不正アクセスや情報漏えいが発生した場合には、過去のメールを調査することで、攻撃者がどのような情報を閲覧した可能性があるのかを分析する材料にもなります。

7．メールログを監視する

メールサーバーのログを適切に管理することも重要です。

例えば、

• 不審なログイン
• 海外からのアクセス
• 大量のメール転送
• 不審なメールルール
• 異常な送信

などを確認できれば、アカウント侵害を早期に発見できる可能性があります。

特に注意したいのが、攻撃者によるメール自動転送ルールの設定です。

メールアカウントへ侵入した攻撃者が、受信メールを外部アドレスへ自動転送する設定を行えば、企業のメールを継続的に盗み見られる可能性があります。

BEC対策では「多層防御」が重要

BECを防ぐためには、

「メールセキュリティ製品を導入すれば終わり」

とは考えないことが重要です。

おすすめしたいのは、多層防御という考え方です。

例えば、

第1層：認証

多要素認証などによって、アカウントの不正利用を防ぐ。

第2層：メールセキュリティ

迷惑メール、フィッシング、マルウェア、なりすましなどを検知する。

第3層：運用ルール

送金や振込先変更などの重要な処理には、メール以外の手段で確認する。

第4層：従業員教育

BECの手口を従業員に理解してもらう。

第5層：監査・ログ管理

不正アクセスや異常なメール操作を調査できる状態にする。

このように複数の対策を組み合わせることで、BECによる被害リスクを低減できます。

メールセキュリティ製品を選ぶ際のポイント

企業がBEC対策を目的としてメールセキュリティ製品を導入する場合、単純に「迷惑メールを何％削除できるか」だけを見るべきではありません。

次のような機能を確認しましょう。

• スパムメール対策
• ウイルス対策
• フィッシング対策
• なりすまし対策
• 添付ファイル検査
• URL検査
• 送信ドメイン認証への対応
• メールログ管理
• 管理者による監視
• メールアーカイブとの連携
• 誤検知への対応
• 管理画面の使いやすさ
• 既存メール環境との互換性

特に重要なのは、受信メールだけでなく、メールアカウントの侵害や内部からの不正送信まで考慮することです。

BEC対策に求められるのは「技術」と「人」の両方

BECが厄介なのは、セキュリティシステムだけでは完全に防げない可能性があることです。

例えば、正規のメールアカウントが乗っ取られた場合、攻撃メールは正規のメールアドレスから送信されることがあります。

また、従業員自身が正規の業務だと判断して送金操作を行ってしまえば、メールセキュリティだけで完全に阻止することは困難です。

だからこそ、

技術的対策 × 業務ルール × 従業員教育

の3つを組み合わせる必要があります。

BEC対策チェックリスト

最後に、自社のBEC対策状況を確認してみましょう。

メール環境

□ 多要素認証を導入している
□ メールアカウントのパスワードを適切に管理している
□ スパム・フィッシング対策を導入している
□ SPF・DKIM・DMARCを適切に設定している
□ メールログを管理している
□ 不審な転送設定を監視している

業務ルール

□ 振込先変更をメールだけで受け付けない
□ 高額送金には複数人の承認を必要としている
□ 新規口座への送金時に本人確認を行っている
□ 緊急の送金依頼でも通常の承認手続きを省略しない

従業員教育

□ BECについて従業員へ教育している
□ フィッシングメールへの対処方法を教育している
□ 不審なメールを報告する窓口がある
□ 経営層や経理担当者への教育を実施している

一つでも「できていない」項目がある場合は、BEC対策を見直すきっかけにするとよいでしょう。

まとめ：BECは「メールの問題」ではなく「企業業務全体の問題」

BEC（ビジネスメール詐欺）は、単なる迷惑メールとは異なります。

攻撃者は、企業や取引先の情報を収集し、メールアカウントを狙い、実際の取引内容を把握したうえで、自然なメールを送ってきます。

そのため、

「怪しい日本語だから分かる」
「知らないアドレスだから分かる」

という従来型の判断だけでは、防ぐことが難しくなっています。

特に、

• 振込先の変更
• 高額な送金依頼
• 緊急の支払い
• 経営者からの秘密指示
• 請求書の変更
• パスワードやアカウント情報の要求

などには十分な注意が必要です。

BEC対策で重要なのは、メールセキュリティを強化するだけではありません。

メールアカウントを守ること、メールを監視すること、従業員を教育すること、そして重要な取引についてメール以外の手段で確認すること。

これらを組み合わせた多層的なセキュリティ対策が必要です。

企業にとってメールは、単なるコミュニケーションツールではありません。

顧客情報、取引情報、請求情報、契約情報など、重要な企業情報が集まる「業務基盤」です。

だからこそ、BEC対策は情報システム部門だけの課題ではなく、経営・総務・経理・営業など、会社全体で取り組むべきセキュリティ課題と考える必要があります。

メール環境の安全性を高め、万が一の攻撃にも迅速に対応できる体制を構築することが、これからの企業には求められています。

BEC対策を検討する企業へ

「迷惑メールは増えているが、どこまで対策すればよいか分からない」

「フィッシングやなりすましメールを減らしたい」

「メールサーバーそのもののセキュリティを強化したい」

「企業のメールを安全に保存・管理したい」

このような課題を抱えている場合は、メールサーバー、メールセキュリティ、メールアーカイブを組み合わせた総合的な対策を検討することをおすすめします。

特に企業のメール環境では、入口で脅威をブロックするだけでなく、万が一侵入を許した場合に備えて、メールの保存・監査・検索まで含めた仕組みを構築することが重要です。

自社のメール環境や利用人数、既存システム、必要なセキュリティレベルを整理したうえで、自社に適したメールセキュリティ環境を選択しましょう。