和歌山市の企業がビジネスメール詐欺で3,800万円の不正送金被害|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年06月23日更新日時: 2026年06月23日

和歌山東署は2026年6月19日、和歌山市内の企業が「ニセ社長詐欺」と呼ばれるビジネスメール詐欺（BEC：Business Email Compromise）の一種によって計3,800万円をだまし取られる被害に遭ったと発表しました。一般には公開していない社内メールアドレス宛に社長を名乗るメールが届き、SNSグループの作成を経て経理担当者が指定された2口座に送金するに至ったものです。同署が特殊詐欺事件として捜査しています。本記事では事案の経緯・手口の分析・同種事案との比較・情報システム部門が取るべき対策を解説します。

サマリー

発表日：2026年6月19日
発表元：和歌山東署（和歌山県警察本部）
被害企業：和歌山市内の企業（業種・社名は非公表）
被害額：計3,800万円（指定口座2か所への分割送金）
発生日：2026年6月18日
手口の経緯：
- 一般には公開していない社内メールアドレス宛に社長を名乗る人物からメールが届く
- 「業務連絡に使用するため、SNSグループを作成してほしい」と依頼
- 社員はSNSグループを作成し、参加用QRコードなどを相手に送信
- その後「経理の者もグループに追加して」との指示を受け経理担当者をグループに追加
- グループ内で「業務取引があるので現金を振り込んで」と送金を指示
- 経理担当者が指定された2つの口座に計3,800万円を送金
- 社員が社長本人に状況を説明したところ詐欺と判明、和歌山東署に届け出
捜査状況：和歌山東署が特殊詐欺事件として捜査中

1 手口の分析 ─ なぜ経理担当者は騙されたのか
2 「2口座への分割送金」の意図
3 発覚のきっかけ ─ 送金後の社長への報告が判明につながった
4 同種事案との比較 ─ 繰り返される「SNSグループ誘導型CEO詐欺」のパターン
5 共通する3つの心理的圧力
6 企業が今すぐ実施すべき対策
- 6.1 FAQ

手口の分析 ─ なぜ経理担当者は騙されたのか

今回の事案で注目すべきは、いきなり送金を要求するのではなく、非公開アドレスへのメール接触とSNSグループ作成という段階を経てから、経理担当者への送金指示が行われた点です。

第一段階（接触と誤った信頼の形成）として、一般には公開されていない社内メールアドレス宛にメールが届いたことで、受け取った社員は「外部からは知り得ないはずの連絡先に届いた」という心理的な安心感を持ってしまった可能性があります。本来であれば非公開アドレスを知っている点そのものが不審なシグナルになり得ますが、逆に「本物から届いた証拠」として機能してしまうのがこの手口の巧妙さです。加えて最初の依頼内容が「SNSグループの作成」という業務上の連絡に見えるものだったため、疑念が生じにくい状況でした。

第二段階（環境の整備と信頼の強化）として、社員が自らSNSグループを作成し、QRコードを相手に送信してグループに参加させたという行為そのものが、「自分が招いた相手=社長本人」という確信を補強します。被害者自身がグループを立ち上げ、相手を迎え入れた構造になっているため、後続の指示への抵抗感が自然と薄れる心理的な効果が働きます。

第三段階（権限拡張と送金指示）として、グループに経理担当者を追加したうえで「業務取引があるので現金を振り込んで」という送金指示が出されました。SNSグループという閉じた環境の中で指示が完結するため、外部からの確認や上長への相談が入りにくく、承認フローがバイパスされやすい状況になっていました。

この構造は、最初の小さな依頼を承諾させることで後続の大きな要求への心理的抵抗が下がる傾向を利用したものであり、ソーシャルエンジニアリングの典型的な設計と一致しています。

「2口座への分割送金」の意図

本件では経理担当者が指定された2つの異なる口座に送金しています。1口座ではなく2口座に分散した背景として、以下の意図が考えられます。

銀行の不正送金検知システムでは、1回の送金額が閾値を超えると異常として検知・保留されるケースがあります。口座を分けることでその検知を回避しやすくなる点は、こうした詐欺案件で繰り返し見られるパターンです。また複数口座に分散させることで、被害発覚後の送金先追跡・口座凍結をより困難にし、資金回収の可能性を下げる効果もあります。さらに、同一口座への追加送金ではなく別口座への振り込みとすることで、経理担当者に対して個々の取引として認識させ、1件あたりの金額感覚を薄める心理的な作用も考えられます。

発覚のきっかけ ─ 送金後の社長への報告が判明につながった

今回被害が発覚したのは、経理担当者が送金を実行した後に、別の社員が社長本人に状況を説明したことがきっかけでした。送金を実行した本人ではなく、事情を知った社員が社長に報告したことで初めて詐欺であることが明らかになっています。

結果的に正しい確認行動が取られましたが、それは送金が完了した後のことでした。もし送金前の段階で電話などにより社長本人に直接確認する手順があったならば、被害そのものを防げた可能性が高いといえます。送金実行前に別経路で指示者本人に確認するプロセスの義務化が、こうした詐欺案件に対する最も直接的な抑止策です。

同種事案との比較 ─ 繰り返される「SNSグループ誘導型CEO詐欺」のパターン

今回の和歌山の事案は、当サイトが継続的に報じてきたCEO詐欺・BEC事案と手口の構造が重なります。特に2026年に入ってから同様のパターンが急増しており、特殊詐欺として警察の捜査対象となるケースが相次いでいます。

事案	発生時期	被害額	手口の特徴
和歌山市の企業（今回）	2026年6月18日	3,800万円	非公開アドレスへのメール→SNSグループ作成→経理追加→2口座分割送金
京都市中京区の貿易会社（同週）	2026年6月17日	5,880万円	SNSで社長を名乗る人物から接触→グループ作成→当日2回送金
ジェリービーンズグループ	2026年6月3日	4,500万円	なりすましメールによる送金指示
関西の物販会社	2026年4月16〜17日	3,000万円（5,500万円を要求）	社内連絡用SNSにチャットグループ作成を指示→送金要求
群馬・前橋市の建設設備会社	2026年3月19日	5,000万円	社長の出張中を狙いビジネスチャットで即時送金を指示
ベルトラ子会社	2026年1月	約5,000万円	フィッシングメールでSNSへ誘導後に経理担当者へ送金指示

特に注目すべきは、和歌山（6月18日）と京都（6月17日）の2件が同一週に発生しており、どちらもSNSグループを作成させたうえで経理担当者に送金を指示するという手口の核心部分が一致している点です。同一攻撃者グループによる連続犯行の可能性も含め、組織的・反復的な攻撃パターンとして警戒が必要です。

共通する3つの心理的圧力

これらの事案に共通するのは、被害者の判断を誤らせるための心理的圧力の組み合わせです。

権威性という観点では、社長・代表者など組織内で最も強い権限を持つ人物になりすますことで、指示への疑問や確認を取りにくくさせます。上位の人物からの連絡に反論・確認しにくい職場の力学を逆手に取った設計です。

緊急性という観点では、「業務取引があるので」「支払いの予定がある」といった、業務上自然でありながら即座の対応を求める文脈で指示が届きます。急いでいる場面ほど確認手順を省略しやすくなるという人間の傾向を突いています。

環境の支配という観点では、被害者自身が作成したSNSグループという閉じた空間の中で指示が完結することで、第三者の目が入りにくくなります。通常であれば発動するはずの承認フローや上長への相談がバイパスされやすい環境が、グループ内という閉じた文脈によって意図的に作り出されています。

企業が今すぐ実施すべき対策

コールバック確認の義務化（送金実行前に）

チャット・SNS・メールによる送金指示を受けた場合は、実行前に必ず電話など別経路で指示者本人に直接確認することを社内ルールとして義務付けてください。今回も送金後に社長本人への確認で詐欺と判明していますが、確認のタイミングが送金前であれば被害を防げた可能性があります。この確認フローは、相手が社長であっても例外にしないことが重要です。

SNSグループ作成依頼そのものへの警戒

今回のように「SNSグループを作成してほしい」という依頼が攻撃の第一段階として機能しています。経営幹部や役職員を名乗る相手からグループ作成を求められた場合、その依頼自体が詐欺の入口である可能性を組織全体に周知することが必要です。グループ作成前に相手の身元を別経路で確認する習慣が予防の鍵になります。

非公開メールアドレスの流出経路の点検

今回は一般には公開していない社内アドレスに攻撃のメールが届いており、攻撃者が何らかの手段でそのアドレスを入手していたことになります。社内メールアドレスの管理状況、業務委託先が保有するアドレス一覧の管理実態について点検することを推奨します。また、SPF・DKIM・DMARCといったメール送信ドメイン認証の設定状況と、外部から届いた社内ドメインを名乗るメールへの警告表示が有効に機能しているかも確認してください。

送金承認の複数人制・二重確認フローの整備

一定金額以上の送金については、担当者一人の判断で実行できない承認フローを設けてください。今回のように経理担当者が単独で3,800万円を送金できる体制は、内部統制の観点から見直しが必要です。送金先口座の事前登録制や、新規口座への送金手続きの厳格化も有効な手段です。

社員へのBEC教育と定期的な疑似訓練

BECはマルウェアを使わず人の判断を直接狙う攻撃です。「社長からの連絡だから」という状況こそが最も危険なシナリオであるという認識を、定期的な教育訓練を通じて組織全体に浸透させることが不可欠です。SNSグループ作成という小さな依頼から始まる手口は、従来の「突然の送金要求メール」という認識では見抜けません。実際の被害事例を使った教育が効果的です。

FAQ

Q. 和歌山の事案はどのような法的扱いになりますか？

A. 和歌山東署が特殊詐欺事件として捜査しています。法人を対象にしたBEC型の詐欺であっても、なりすましによる虚偽の指示で金銭を詐取する手口は特殊詐欺の類型として扱われることがあります。

Q. 被害金の回収は見込めますか？

A. 本記事執筆時点で回収状況に関する報道は確認されていません。一般的に、送金後の資金回収は困難です。複数口座への分割送金は資金の追跡をさらに難しくするため、被害金の早期凍結申請を捜査機関と連携して迅速に行うことが重要になります。

Q. 非公開のメールアドレスに届いたということは、内部に関与者がいる可能性はありますか？

A. 公表情報からは断定できません。考えられる入手経路としては、過去のデータ侵害による漏洩、業務上のやり取りからのOSINT（公開情報収集）、業務委託先経由での流出などが挙げられます。内部関与の可能性を完全に排除することはできませんが、現段階では攻撃手法の特性として想定される範囲内の情報収集であるとも考えられます。

出典