山口県警が公表した事案によると、山口市の法人は、社長をかたる人物から届いたメールを信じ、2026年6月26日に9,600万円を指定口座へ振り込み、だまし取られました。
今回の事案では、なりすましメールで接触した後、メッセージアプリへ誘導し、緊急性を装って送金を指示するという、BEC詐欺、いわゆるビジネスメール詐欺で繰り返し確認されている手口が使われています。
同じ山口県内では、約1か月後の7月20日から21日にかけても、別の法人が同様の手口によって500万円をだまし取られました。短期間に類似した被害が続いていることから、情報システム部門や経理部門は、送金承認や本人確認の運用を早急に見直す必要があります。
サマリー
- 2026年6月26日、山口市の法人の関連会社に勤める社員が、社長をかたるメールを受信しました
- メールへの返信後、攻撃者は社員をメッセージアプリのグループへ誘導しました
- 攻撃者は「取引先がリアルタイムでの送金を求めている」と説明し、送金を急がせました
- 社員は本物の社長からの指示だと信じ、指定口座へ9,600万円を振り込みました
- 山口県警は、社長や役員を名乗る人物から送金を求められた場合、本人へ直接確認するよう呼びかけています
- 山口県内では約1か月後にも、別の法人が同様の手口で500万円の被害に遭っています
- 2件の被害額を合計すると、1億100万円に達します
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年6月26日 |
| 被害者 | 山口市の法人の関連会社に勤める社員 |
| 被害金額 | 9,600万円 |
| 最初の接触手段 | 社長をかたる人物からのメール |
| 誘導先 | メッセージアプリのグループ |
| 送金の口実 | 「取引先がリアルタイムでの送金を求めている」 |
| 事案の分類 | BEC詐欺、ビジネスメール詐欺、CEO詐欺 |
| 捜査機関 | 山口県警 |
| 県内での連続被害 | 約1か月後の7月20日から21日にも、別の法人で500万円の被害 |
| 県内の被害合計 | 1億100万円 |
何が起きたのか
2026年6月26日、山口市の法人と関係する別の法人に勤める社員のメールアドレスへ、社長をかたる人物からメールが届きました。
メールには、「今後の仕事はこちらに送ってください」といった内容が記載されていました。社員がそのメールへ返信したことで、攻撃者とのやり取りが始まりました。
返信を確認した攻撃者は、「重要な業務があります」「メッセージアプリでグループを作成してください」などと指示しました。
連絡の場がメールからメッセージアプリへ移ると、攻撃者は「会社に入金予定があります」と説明し、口座残高のスクリーンショットを送るよう求めました。
社員が指示に応じると、攻撃者は「これから9,600万円を送金するので、指定する口座へすぐに振り込んでください」「取引先がリアルタイムでの送金を求めています」などと伝え、送金を急がせました。
社員は本物の社長からの指示だと信じ、指定された口座へ9,600万円を振り込みました。
メールからメッセージアプリへ切り替える理由
今回の事案で注目すべき点は、連絡手段がメールからメッセージアプリへ切り替えられたことです。
山口県内では、本件の約1か月後にあたる7月20日から21日にかけても、別の法人が同様の手口でLINEグループへ誘導され、500万円をだまし取られる被害が発生しています。
同じ県内で、ほぼ同じ手順による被害が短期間に2件確認されたことから、地域の事業者を継続的に狙った攻撃である可能性も考慮する必要があります。
メールからメッセージアプリへ移動させる手順には、攻撃者側の明確な狙いがあります。
企業のメール環境では、SPF、DKIM、DMARCなどの送信ドメイン認証や、迷惑メールフィルター、URL検査といった対策が導入されています。
攻撃者がなりすましメールだけでやり取りを続けると、セキュリティ製品に検知されたり、メールが遮断されたりする可能性が高まります。
一方、メッセージアプリへ誘導できれば、企業のメールセキュリティによる監視やフィルタリングの範囲外でやり取りを続けられる場合があります。
メッセージアプリでは、アカウントを比較的容易に作成できるほか、プロフィール画像や表示名に社長の氏名や顔写真を設定することで、本人らしさを演出できます。
個人所有の端末やアカウントが使われた場合、企業の管理者が送受信記録を確認できず、インシデント発生後の調査や証拠保全が難しくなる可能性もあります。
関連会社の社員が狙われた意味
今回の被害者が、本社の社員ではなく関連会社に勤める社員だった点も見逃せません。
国内で確認されているBEC詐欺では、親会社やグループ会社の社長、役員になりすまし、関連会社や子会社の経理担当者、管理部門の社員を狙う手口が繰り返し確認されています。
関連会社の社員は、親会社やグループ会社の社長と日常的に直接連絡を取る機会が少ない場合があります。
普段は接点の少ない社長を名乗る人物から連絡を受けた場合でも、相手が上位の役職者であることから、本人確認を求めにくいと感じる可能性があります。
攻撃者は、こうした組織構造や心理的な距離を悪用していると考えられます。
グループ会社間で連絡手段や送金承認のルールが統一されていない場合、セキュリティ統制の弱い会社や拠点が狙われるおそれがあります。
山口県内で約1か月に2件の被害
2026年6月26日に発生した9,600万円の被害と、7月20日から21日にかけて発生した500万円の被害には、複数の共通点があります。
いずれも社長をかたる人物からメールで接触し、メッセージアプリのグループへ誘導した後、経理担当者や業務担当者へ送金を指示するという構造です。
2件の被害額を合計すると、1億100万円に達します。
同じ県内で類似した手口による高額被害が短期間に続いたことから、攻撃者が公開情報を使って地域の法人を調査し、標的を選定している可能性も否定できません。
企業のWebサイト、役員紹介、組織図、採用情報、商工団体の会員情報、官公庁の入札情報、SNSなどからは、代表者名や担当者名、取引関係、組織構造を把握できる場合があります。
ただし、2件が同じ攻撃者によるものか、山口県内の企業を意図的に狙った攻撃なのかは公表されていません。現時点では、手口の類似性を踏まえて警戒すべき状況として捉える必要があります。
口座残高を確認させる目的
攻撃者が口座残高のスクリーンショットを送るよう求めた点も、重要な手順です。
残高確認には、主に二つの目的が考えられます。
一つは、標的となった企業が送金できる金額を把握することです。攻撃者は口座残高を確認することで、実行可能な範囲で最大限の金額を要求できます。
ただし、今回要求された9,600万円が、実際の口座残高を基に決められたかどうかは公表されていません。
もう一つは、被害者を段階的に指示へ従わせることです。
最初から高額送金を要求するのではなく、メッセージアプリへの移動や残高画面の送付といった、比較的実行しやすい依頼から始めています。
被害者が一度指示に従うと、その後も同じ相手からの要求に応じやすくなる可能性があります。
小さな依頼を受け入れさせた後に、より大きな要求へ進む手法は、BEC詐欺やソーシャルエンジニアリングで繰り返し使われています。
情報システム部門が整備すべき対策
山口県警は、社長や役員を名乗るメールやチャットで送金を求められた場合、そのまま信用せず、本人へ直接確認するよう注意を呼びかけています。
本人確認は重要ですが、担当者個人の注意だけに依存する対策では十分ではありません。組織として、送金を一人の判断で実行できない仕組みを整備する必要があります。
一定額を超える振り込みについては、複数の担当者による承認を必須としてください。送金を依頼した人物と、送金を承認する人物、実際に振込操作を行う人物を分けることが有効です。
送金先口座の新規登録や変更についても、メールやチャットの指示だけで処理せず、既知の電話番号を使った確認や、社内の申請システムによる承認を必須とします。
LINEやWhatsAppなど、会社が正式な業務ツールとして認めていないメッセージアプリからの送金指示は、役職者本人を名乗っている場合でも実行しないというルールを定める必要があります。
経営層が使用する連絡手段や、緊急時の送金依頼方法も明文化してください。
送金に関する指示を受けた場合は、メッセージアプリ上で確認するのではなく、社内電話帳や既存の連絡先を使って本人へ電話をかける運用が有効です。
攻撃者から送られたメールやメッセージに記載された電話番号を使うと、攻撃者本人へつながる可能性があるため、既知の連絡先を使う必要があります。
グループ会社を含めた対策が必要
今回のように関連会社の社員が狙われる事案では、本社だけで対策を強化しても十分ではありません。
子会社や関連会社を含め、送金承認、本人確認、緊急連絡、インシデント報告の手順を統一する必要があります。
グループ全体で同じセキュリティ研修を実施し、社長や役員から突然送金を指示される事例や、外部のメッセージアプリへ誘導される手口を具体的に共有してください。
経理部門だけでなく、総務、営業、海外拠点、秘書、管理職など、役員から直接連絡を受ける可能性のある社員も教育対象に含めます。
BEC詐欺は、マルウェア感染やシステム侵入を伴わずに成立する場合があります。メールセキュリティ製品だけで完全に防ぐことは難しいため、技術的対策と業務上の承認統制を組み合わせることが重要です。
情報システム部門への示唆
情報システム部門は、社長や役員を名乗るメールを検知するため、SPF、DKIM、DMARCの設定状況を確認してください。
DMARCについては、監視だけを行うp=noneにとどめず、正規メールの送信経路を整理したうえで、隔離や拒否を行うポリシーへの移行を検討する必要があります。
外部から届いたメールには、社外メールであることが分かる警告表示を追加し、役員名と同じ表示名を使ったメールを検知するルールを設定することも有効です。
ただし、攻撃者がフリーメールや類似ドメインを使う場合、送信ドメイン認証だけでは防げません。表示名、本文、返信先、送金依頼、メッセージアプリへの誘導といった複数の要素を組み合わせて検知する必要があります。
インシデント発生時に備え、メールのヘッダー情報、チャット履歴、送金記録、口座情報、端末ログを速やかに保全できる手順も整備してください。
BEC詐欺では送金後の時間が経過するほど資金回収が難しくなります。不正送金に気付いた場合は、直ちに金融機関へ連絡し、組戻しや口座凍結を依頼するとともに、警察へ相談する必要があります。
出典
- 【ニセ社長詐欺】自社の社長を名乗るメールを信じ…山口市の法人が9600万円をだまし取られる——KRY NEWS NNN（2026年7月27日）
- 山口県内の法人が「ニセ社長詐欺」で500万円の被害——セキュリティ対策Lab（2026年7月27日）
関連記事
NVIDIA主導のAI セキュリティ連合「Open Secure AI Alliance」が発足 日本企業含む約37社が参加
はてな、BEC詐欺による不正送金 被害で最大損失額1,179百万円 確定—当期純損失767百万円へ転落
Proofpointの設定が悪用され何百万通のフィッシングメールが送信される
沖縄県警本部長をかたる詐欺メール、県警の公開アドレスに到達-ニセ社長詐欺の手口が警察を標的に
国税庁を騙るフィッシングメールの実例-DKIM認証を通過しスパムフィルター通過
山口県内の法人が「ニセ社長詐欺」で500万円の被害-社長を騙るメールからLINEグループ作成、翌日に送金させる手口が全国で拡大
株式会社はてな、最大約11億円のCEO詐欺 被害で特別調査委員会を設置
鹿児島 県内2社がニセの社長を騙る詐欺の被害-SNSグループ作成から1,000万円と550万円をだまし取られる
迷惑メールとは-企業のセキュリティを揺るがす現代の脅威
