ビジネスメール詐欺（BEC）・ニセ社長詐欺不正送金被害まとめ-はてななど上場企業関連9社とLINE誘導型詐欺含む21件・被害総額約22億740万円超【2026年最新版】|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年04月27日更新日時: 2026年07月29日

ビジネスメール詐欺やなりすましチャットによる不正送金被害まとめ-上場企業関連6社で-被害総額約15億円超。手口別に事例と対策を解説【最新版】

2025年後半から2026年にかけて、上場企業を含む国内企業が「虚偽の送金指示」によって多額の資金を騙し取られる事案が相次いでいます。被害総額は判明分だけで約22億740万円超に上り（はてなの確定損失額11億7,900万円含む）、手口はビジネスメール詐欺（BEC）・ビジネスチャット詐欺・サポート詐欺・ボイスフィッシング・LINEグループ誘導型CEO詐欺と多様化しています。特に2026年6〜7月には、業務用メールを起点にLINEやSNSのグループへ誘導し経理担当者へ送金指示を行う手口が全国の福祉法人・中小企業で相次いで確認されており、この手口だけで11件・合計約2億1,140万円超の被害が判明しています。あわせて、東証グロース上場企業でもTOA（米国子会社）・ジェリービーンズグループでの被害が確認されています。

本記事では、各社の被害事案を手口別に整理し、共通する脆弱性と対策を解説します。

2026年BEC・ニセ社長詐欺21件の被害サマリー

はてな（3930）が2026年4月20〜21日に不正送金被害を公表。調査の結果、ボイスフィッシングを起点とした複合型攻撃であることが判明し、確定損失額は11億7,900万円
ZUU（4387）が2026年3月19日にビジネスチャット上のなりすましで9,600万円の資金流出を公表
ベルトラ（7048）子会社・リンクティビティが2026年1月上旬にフィッシングメール→SNS誘導→送金指示という手口で約5,000万円を失った
信和（3447）子会社が2025年11月29日にサポート詐欺→遠隔操作→ネットバンキング不正送金で2.5億円の被害に遭った
ジェリービーンズグループ（3070）が2026年6月3日、なりすましメールによるBEC詐欺で4,500万円の資金流出を公表
TOA（6809）の米国子会社が偽指示によるビジネスメール詐欺で約9,000万円の資金流出被害に遭った
山口市の法人が2026年6月26日、社長をかたるメール→メッセージアプリへの誘導という手口で9,600万円を詐取された
群馬・前橋市の建設設備会社が社長なりすましビジネスチャット詐欺で5,000万円、別の社長なりすましビジネスチャット詐欺で3,000万円、山形鉄道へのボイスフィッシング（ベトナム人を逮捕）で1億円の被害も発生
2026年4〜7月には「LINE・SNS誘導型CEO詐欺」が全国で急増。大分県（1,990万円）・福井県就労支援事業所（500万円）・福井市専門商社（3,000万円）・鹿児島県2社（1,550万円）・秋田県2件（3,120万円）・和歌山市（3,800万円）・京都市（5,880万円）・富山県高岡市（300万円）・山口県宇部（500万円）・佐賀県鳥栖市（500万円）で合計11件・約2億1,140万円の被害が確認されている
これらの攻撃はマルウェアや不正アクセスを一切使わず、人間の判断を直接標的にするため、従来のセキュリティ製品では検知できない

被害事案の一覧

企業・団体	発生時期	被害額	手口の分類
はてな（3930）	2026年4月20〜21日	11億7,900万円（確定）	ボイスフィッシング起点の複合型攻撃
ZUU（4387）	2026年3月19日	9,600万円	ビジネスチャット上のなりすまし
信和（3447）	2025年11月29日	2億5,000万円	サポート詐欺→遠隔操作→ネットバンキング
山形鉄道	不明	1億円	ボイスフィッシング
ベルトラ（7048）子会社	2026年1月上旬	約5,000万円	フィッシングメール→SNS誘導→送金指示
群馬・前橋市の建設設備会社	不明	5,000万円	ビジネスチャット（社長CEO詐欺）
社長なりすましBEC	不明	3,000万円	ビジネスチャット（社長CEO詐欺）
ジェリービーンズグループ（3070）	2026年6月3日	4,500万円	なりすましメールによるBEC
TOA（6809）米国子会社	不明	約9,000万円	偽指示によるBEC
山口市の法人	2026年6月26日	9,600万円	メール→メッセージアプリ誘導型CEO詐欺
大分県社会福祉法人	2026年6月29日	1,990万円	LINE誘導型CEO詐欺
福井県就労支援事業所	2026年7月2日	500万円	LINE誘導型CEO詐欺
福井市の専門商社	2026年7月14日	3,000万円	LINE誘導型CEO詐欺（実在の取締役名を悪用）
鹿児島県内2社	2026年6月	1,000万円＋550万円	SNSグループ誘導型CEO詐欺
秋田県内2件	2026年（5日間で連続発生）	3,000万円＋120万円	LINE誘導型CEO詐欺
和歌山市の企業	2026年6月19日	3,800万円	SNSグループ誘導型BEC
京都市の企業	2026年6月17日	5,880万円	チャットグループ誘導型CEO詐欺
富山県高岡市の企業	2026年4月3日	300万円	LINE誘導型CEO詐欺
山口県（宇部警察署管内）の法人	2026年7月20〜21日	500万円	メール→LINEグループ誘導型CEO詐欺
佐賀県鳥栖市の企業	2026年7月10日	500万円	メール→SNSグループ誘導型CEO詐欺
合計		約22億740万円

上記合計の内訳は、上場企業関連9件で約17億9,000万円（うちはてなの確定損失額11億7,900万円が最大）、メッセージアプリ・LINE・SNS誘導型CEO詐欺11件で約2億1,140万円、その他の非上場企業事案3件（前橋・社長なりすましBEC・山口市）で約1億7,600万円です。

事案1:はてな（3930）——確定損失額11億7,900万円、ボイスフィッシング起点の複合型攻撃

2026年4月24日、株式会社はてな（東証グロース:3930）は、4月20日および21日に従業員が悪意ある第三者から虚偽の送金指示を受け、会社の銀行預金口座から外部口座へ資金が送金されたとして適時開示を行いました。当初の被害対象額は最大約11億円と発表されていましたが、その後の調査を経て確定損失額は11億7,900万円（1,179百万円）として最終的に計上されています。

2026年7月24日に公表された特別調査委員会の調査報告書によって手口の全容が明らかになりました。詳細分析記事が示すとおり、この事案は単一の手口ではなく、複数の詐欺手法を時系列で連鎖させた複合型攻撃でした。

初日の2026年4月20日午前8時2分、経理部長H氏の私用携帯電話に詐欺グループから電話がかかってきました。発信者は警察官を装い「あなたの口座が犯罪に利用されている」と告げ、担当者を不安にさせたうえで「口座の安全確認のために送金操作が必要」と誘導しました。さらに遠隔操作ソフトのインストールを指示し、二段階認証の突破まで行いました。その後、今度は社内の役員をかたるビジネスチャットのメッセージで送金指示が重ねられ、担当者は2日間にわたって送金を実行しました。

単純な「社長からのメール一通」ではなく、ボイスフィッシングで心理的に追い込んだうえでビジネスチャットの権威性を重ねるという構造が、11億円超という前例のない被害規模を生んだ要因です。

なぜ1人の従業員が11億円を送金できたのか

本件で見落としてはならない本質的な問題が、1人の従業員が2日間で最大約11億円を送金できる権限・体制が存在していたという点です。財務・経理部門における内部統制の基本原則は「職務の分離（Segregation of Duties）」です。送金を「指示する人」「承認する人」「実行する人」を分離し、1人が全工程を完結できない設計にすることで、不正・誤操作・詐欺のいずれにも対処できます。仮に「複数人承認なしに1億円以上の送金が実行できない」仕組みが存在していれば、攻撃者が1人の従業員を騙すことに成功しても被害は大幅に抑制できたはずです。

事案2:ZUU（4387）——9,600万円、ビジネスチャット上の「社内役職員へのなりすまし」

2026年3月27日、金融情報メディア「ZUU online」等を運営する株式会社ZUU（東証グロース:4387）は、3月19日にビジネスチャット上で当社役職員を装った第三者が不正な送金指示を行い、9,600万円が外部口座へ送金されたと公表しました。

注目すべき点は「既存の社内ルール・プロセスに則る形で処理された」という点です。攻撃者は社内の承認フロー・業務慣行を事前に把握したうえで、それに沿う形でなりすましを実行したとみられます。ZUUは「チャットツールと振込実行プロセスの連携における真正性確認が不十分だった」と原因を認めており、現時点で回収は「極めて困難な状況」としています。

事案3:信和（3447）——2.5億円、サポート詐欺→遠隔操作→ネットバンキング不正送金

仮設資材販売の信和株式会社（東証スタンダード/名証プレミア:3447）の子会社で、2025年11月29日にサポート詐欺による不正送金が発生し、2億5,000万円の損失が確定しました。

業務用PCに「ウイルス感染を装う偽の警告画面」が表示され、担当者が画面上の電話番号に電話をかけると、サポート窓口を装った攻撃者から遠隔操作ソフトのインストールを指示されました。インストール後、攻撃者はPCを遠隔操作してネットバンキング経由で不正送金を実行しました。フォレンジック調査の結果、端末内に保存されていたオンラインバンキングのIDとパスワードが記載されたファイルがアクセスされた痕跡が確認されており、認証情報の管理上の問題も浮き彫りになりました。

事案4:山形鉄道——1億円、ボイスフィッシング、ベトナム人グループが逮捕

山形鉄道株式会社がボイスフィッシング（電話を用いたなりすまし詐欺）によって1億円を騙し取られた事案では、その後の捜査でベトナム国籍の男が逮捕されました。ボイスフィッシングは電話で銀行員や取引先担当者等を装い、緊急性を演出して送金を指示する手口です。音声のリアルタイム性が疑念を持ちにくくする要因となります。

事案5:ベルトラ（7048）子会社リンクティビティ——約5,000万円、フィッシングメール→SNS誘導という「2段階の騙し」

旅行体験予約サイト「VELTRA」を運営するベルトラ株式会社（東証グロース:7048）の子会社・リンクティビティ株式会社で、2026年1月上旬に約5,000万円の不正送金被害が発生しました。

まず従業員に対してリンクティビティの代表者を装ったフィッシングメールが届き、そこから社外のSNSアカウントへ誘導されました。その後SNS上で経理担当者に「緊急振込」の指示が出され、従業員が社内の銀行届出印を持ち出して銀行窓口で振込手続きを実行してしまいました。2段階の誘導（メール→SNS）によって、SNS上でのやり取りが「代表者との直接連絡」という信頼感を生み出した点が巧妙です。

事案6:群馬・前橋市の建設設備会社——5,000万円、社長なりすましビジネスチャット詐欺

群馬県前橋市の建設設備会社において、ビジネスチャットで社長になりすました第三者からの指示により、5,000万円が詐取された事案です。社長が出張中という状況を悪用し、緊急性を演出した送金指示によって確認手順が省略されたとみられています。

事案7:社長なりすましBEC——3,000万円、関西の物販会社

ビジネスチャットで社長になりすました第三者から「緊急の送金処理をお願いします」という指示が届き、3,000万円が詐取された事案です。「緊急性」「権威性」「秘密保持（上長には私から説明します）」という3つの心理的圧力によって確認手順を省略させました。

事案8:ジェリービーンズグループ（3070）——4,500万円、なりすましメールによるBEC

株式会社ジェリービーンズグループ（東証グロース:3070）は2026年6月19日、6月3日に発生した資金流出事案の経過と再発防止策を公表しました。同社役職員を装った第三者によるなりすましメールによる不正な送金指示を受け、4,500万円が外部口座へ送金されました。同社は月島警察署へ被害届を正式に提出・受理されています。

同社が認識した原因は、支払い手続きに関する社内規程・フローの不徹底、支払承認プロセスにかかる内部統制の不備、サイバーセキュリティ体制への社内認識の不徹底、偽アカウントへの警戒不足、ビジネスチャットツール等の脆弱性に対する対策不足という5項目です。

事案9:TOA（6809）米国子会社——約9,000万円、偽指示によるBEC

音響機器メーカーのTOA株式会社（東証プライム:6809）の米国子会社において、偽の指示によるビジネスメール詐欺で約9,000万円の資金流出が発生した事案です。海外子会社を標的にしたBECは、時差や言語の壁によって本人への確認が後回しにされやすく、日本国内の事案とは異なる注意点があります。

事案10:山口市の法人——9,600万円、メール→メッセージアプリへの誘導と残高確認を組み合わせた手口

2026年6月26日（土曜日）、山口市の法人の関連会社に勤める社員のメールアドレスへ、社長をかたる人物からメールが届きました。文面は「今後の仕事はこちらに送ってください」というシンプルな一文でした。社員がそのメールに返信したことで接触が始まりました。

返信を確認した攻撃者は「重要な業務がある」「メッセージアプリでグループを作ってほしい」と指示し、連絡の場をメールからメッセージアプリへ移しました。その後「会社に入金予定がある」として口座残高をスクリーンショットで送るよう求め、「取引先がリアルタイムでの送金を求めている」と焦りを煽りながら9,600万円を指定口座へ送金させました。

同じ山口県内では7月20〜21日にも別の法人が同手口で500万円の被害に遭っており、約1か月で2件・計1億100万円の被害が同一県内で確認されています。攻撃者が地域内の法人を継続的に標的にしている可能性があります。

事案11〜21:全国で急増する「LINE・SNS誘導型CEO詐欺」——2026年4〜7月に11件・約2億1,140万円

上記10件とは別に、2026年4月から7月にかけて、業務用メールアドレスに代表者・理事長・取締役を名乗る人物からのメールが届き、そこからLINEやSNSのグループ作成へ誘導したうえで経理担当者を巻き込んで送金させるという手口の被害が全国で相次いでいます。パターン解説記事でも指摘したとおり、最初のメールには不審なURLや添付ファイルが一切含まれず、「LINEグループを作成してQRコードを返信してほしい」という業務上自然に見える依頼にとどまるため、従来型のメールセキュリティ製品では検知が極めて困難な設計になっています。

発生場所・団体	発生日	被害額	誘導手段
大分市の社会福祉法人	2026年6月29日	1,990万円	LINEグループ作成→経理担当者追加
福井市の就労支援事業所	2026年7月2日	500万円	LINEグループ作成→振込明細スクショ要求
福井市の専門商社	2026年7月14日	3,000万円	実在する取締役を名乗るメール→LINEグループ作成→送金指示（2回目の追加要求は電話確認により未遂）
鹿児島県内企業A社	2026年6月	1,000万円	SNSグループ作成→二次元コード返信
鹿児島県内企業B社	2026年6月	550万円	SNSグループ作成
秋田県内企業A社	2026年（5日間で連続発生）	3,000万円	LINEグループ誘導
秋田県内企業B社	2026年（同上）	120万円	LINEグループ誘導
和歌山市の企業	2026年6月19日	3,800万円	非公開アドレス宛メール→SNSグループ→2口座送金
京都市の企業	2026年6月17日	5,880万円	社内連絡用SNSでのグループ作成要求
富山県高岡市の企業	2026年4月3日発生・7月10日判明	300万円	業務用メール→LINEグループ作成→QRコード返信
山口県（宇部警察署管内）の法人	2026年7月20〜21日	500万円	メール→LINEグループ作成→翌日に送金指示
佐賀県鳥栖市の企業	2026年7月10日	500万円	メール→SNSグループ作成→経理担当者追加→送金指示

これらの事案に共通するのは、①業務用メールに実在する代表者・役員名を差出人としたメールが届く、②「業務プロジェクトに備えて」などの自然な理由でLINEやSNSのグループ作成を依頼される、③グループへなりすましアカウントが参加し経理担当者の追加を求められる、④グループ内で口座残高等を確認した後、送金指示が出される、という4段階の流れです。

福井市内では7月2日の就労支援事業所（500万円）に続き、12日後の7月14日には同市内の専門商社が実在する取締役の名前を騙る手口で3,000万円をだまし取られており、警察は両事案の関連性も含めて捜査を進めています。専門商社の事案では、初回の3,000万円送金後に届いた追加の1,700万円の送金要求に対し、社員が取締役本人へ電話で直接確認したことで追加被害を防いでいます。

山口県では6月26日（山口市・9,600万円）と7月20〜21日（宇部警察署管内・500万円）の2件が約1か月以内に発生しており、同一県内での連続被害として警戒が必要な状況です。

事例から見えてくる共通パターン——なぜ騙されるのか

21件に共通する構造的な問題点は以下の4点です。

技術的防御が機能しないという点が最初の問題です。BEC・ビジネスチャット詐欺・LINE誘導型CEO詐欺は、URLも添付ファイルも含まない純粋なテキスト指示であるため、アンチウイルスソフト・EDR・URLフィルタリングはいずれも機能しません。攻撃の唯一の突破口は人間の判断であり、受信者が「正規の指示だ」と信じて自らの意志で送金操作を行うことで被害が成立します。

既存の業務フローが盲点になるという点が2つ目の問題です。ZUUの事案に象徴されるように、攻撃者は社内の送金ルール・承認フローを事前に把握し、それに沿う形でなりすましを実行しています。「社内ルール通りに処理した」という事実が被害後も残り、担当者が責任を感じやすい構造になっています。

制度的な歯止めがないという点が3つ目の問題です。はてなの事案が示すように、1人の従業員が承認なしに数億〜十億円規模の送金を完結できる体制そのものが問題です。

心理的な「確認させない」演出が4つ目の問題です。「今日中に処理してください」「上長には私から説明します」「絶対に口外しないでください」という文言が共通して確認されています。「緊急性」「権威性」「秘密保持」の3要素を組み合わせることで担当者の正常な判断を妨げます。

手口の分類と技術的な特徴

手口	主な特徴	技術的防御の有効性
BEC（ビジネスメール詐欺）	メールでなりすまし、テキストで送金指示。URLや添付ファイルなし	ほぼ無効。DMARC設定は一定の効果あり
ビジネスチャット詐欺	チャットで役職員・社長を装って指示	無効。チャットはドメイン確認文化が浸透していない
LINE/SNSグループ誘導型CEO詐欺	メールでLINE・SNSグループ作成を依頼し、グループ内で送金指示	ほぼ無効。最初のメールに不審な兆候がなく検知困難
フィッシング→SNS誘導型	2段階でSNSへ誘導し、SNS上で送金指示	フィッシング検知は可能だがSNS誘導後は無効
サポート詐欺→ネットバンキング	偽の警告画面→電話→遠隔操作ソフト→不正送金	遠隔操作ソフトの社内持込制限・ポップアップブロックが有効
ボイスフィッシング	電話でなりすまし、緊急性を演出して送金指示	無効。コールバック確認が唯一の手段
複合型攻撃（はてな型）	ボイスフィッシングで心理的に追い込み、ビジネスチャットの権威性を重ねて送金	複数の経路を連鎖させるため各手法の対策を単独で講じても防ぎにくい

対策——制度・技術・運用・人の4層で防ぐ

制度的対策（最重要）として、まず「被害の上限を制度的に設計する」ことが全ての対策の前提です。1件あたりの送金上限額の設定（例：1,000万円超は取締役承認必須）、複数名による送金承認フローの義務化、送金先口座の事前登録制と新規口座への送金手続きの厳格化、送金実行後の経営幹部・財務責任者へのリアルタイムアラート通知が最低限の統制項目です。人間は必ず騙される可能性があるという前提に立ち、1人の判断ミスが組織全体に壊滅的な損害を与えない制度設計こそが内部統制の本来の役割です。

技術的対策として、メールについてはDMARC・DKIM・SPFの設定と監視が有効です。送信元ドメインのなりすましを検出できます。サポート詐欺対策としては、業務用PCへの遠隔操作ソフトの新規インストール制限と、ブラウザのポップアップブロッカーの有効化が効果的です。

運用的対策として最も重要なのが送金前の複数経路での確認義務化です。メールや特定のコミュニケーションツールだけで送金指示を完結させず、電話等の別チャネルで必ず口頭確認を行う手順を社内規定に明記します。代表者・役員を名乗る人物からLINEグループの作成依頼や送金指示があった場合も同様に、通常の業務フローから外れた依頼である以上、電話や対面で本人へ直接確認するルールを組織内で明文化しておくことが有効です。福井市の専門商社の事案が示すように、たとえ1回目の送金を実行してしまった後であっても、2回目以降の追加要求に対して同じ厳格さで本人確認を行うことが被害拡大を防ぐ最後の砦になります。

人的対策として、BECを題材にした標的型攻撃メール訓練の定期実施と、「経営幹部からの緊急指示でも手順をスキップしない」という組織文化の醸成が重要です。業務連絡や送金指示は必ず会社が管理する正規のチャネルを通じて行うことを社内規定として明確にすることも推奨します。

よくある質問（FAQ）

Q. EDRやアンチウイルスで今回のような不正送金は防げますか？ BEC・ビジネスチャット詐欺・LINE誘導型CEO詐欺・ボイスフィッシングについてはほぼ防げません。送金指示の文中に悪意あるコードが存在しないため、シグネチャ検知・サンドボックス分析・URLフィルタリングは機能しません。サポート詐欺については、遠隔操作ソフトのインストール制限やEDRでの検知が一定の効果を持ちます。

Q. 被害に遭った場合、資金の回収はできますか？ いずれの事案でも回収は「極めて困難」とされています。受け皿口座から即座に資金が移転されるため、発覚から初動が速くても回収が難航することが多い状況です。

Q. 11億円もの送金を1人の従業員が実行できた理由は何ですか？ 内部統制の不備、具体的には「職務の分離」と「多重承認フロー」が機能していなかった可能性があります。送金を指示・承認・実行する役割が分離されておらず、1人で全工程を完結できる体制が存在していたとみられます。

Q. 特に危険な時間帯・状況はありますか？ 経営幹部が海外出張中・担当者が1人で処理しなければならない状況・月末・期末などの繁忙期が狙われやすい傾向があります。

Q. LINE誘導型CEO詐欺は、なぜ福祉法人や地方の中小企業でも被害が相次いでいるのですか？ 大企業に比べてセキュリティ専門部署や多重承認フローが整備されていないケースが多く、代表者からの依頼であれば疑わずに応じてしまう組織文化が根付いていることが背景にあると考えられます。