東京製綱株式会社は2026年9月15日、同社グループの職員になりすましたビジネスメール詐欺（BEC）とみられる不審メールが第三者から送信されているとして注意喚起しました。
同社が確認しているメールアドレスの例は、正規のグループドメインに酷似した「tokyoropes.jp」「tokyoropesusa.com」を使ったものです。
東京製綱グループが管理・利用する正規ドメインは「tokyorope.jp」「tokyoropeusa.com」であり、確認された詐欺メールでは文字列に「s」を追加した類似ドメインが使われています。
同社は、振込先口座の変更、新たな口座指定、至急の資金移動・送金、パスワードやログイン認証情報の入力を求めるメールに注意するよう呼びかけています。
9月15日時点で、東京製綱の正規メールアカウントが不正アクセスを受けた、同社システムからメールが不正送信された、取引先で金銭被害が発生したといった事実は公表されていません。
東京製綱のBEC注意喚起のサマリー
確認できている内容：
- 東京製綱は2026年9月15日、同社グループ職員になりすました不審メールについて注意喚起しました。
- 同社は事象を「ビジネスメール詐欺（BEC）と思われる」と説明しています。
- 正規のグループドメインは「tokyorope.jp」「tokyoropeusa.com」です。
- 確認された詐欺メールの例には「tokyoropes.jp」「tokyoropesusa.com」が使われています。
- 詐欺メールのドメインは正規ドメインに「s」を加えた酷似文字列です。
- 東京製綱は、これらの類似ドメインを自社グループでは管理・利用していないと明記しています。
- 注意すべき内容として、振込先口座の変更、新しい口座指定、緊急の資金移動・送金依頼、パスワードやログイン認証情報の開示・入力要求を挙げています。
- 不審なメールを受信した場合、メール本文に記載された電話番号、URL、返信先アドレスを使用しないよう求めています。
- 判断に迷う場合は、既知の正規電話番号で担当者へ直接確認するか、別途新規メールで確認するよう案内しています。
現時点で公表されていない内容：
- 不審メールの送信件数
- 送信先となった企業・個人の数
- 実際に送金被害が発生したか
- 正規のメールアカウントが侵害されたか
- 東京製綱社内のメールが盗み見られたか
- 攻撃者が正規の取引内容を把握していたか
- 類似ドメインの登録者・運営者
- 攻撃者や犯罪グループの特定
- 警察への相談・被害届の有無
| 項目 | 内容 |
|---|---|
| 公表日 | 2026年9月15日 |
| 対象組織 | 東京製綱株式会社およびグループ |
| 事象 | グループ職員になりすましたBECとみられる不審メール |
| 正規ドメイン | tokyorope.jp、tokyoropeusa.com |
| 確認された類似ドメイン例 | tokyoropes.jp、tokyoropesusa.com |
| 主な誘導 | 振込先変更、緊急送金、認証情報入力 |
| 正規アカウント侵害 | 公表されていません |
| 金銭被害 | 公表されていません |
| 推奨対応 | メール内の連絡先を使わず、既知の電話番号など別経路で確認 |
「tokyorope」に1文字加えた類似ドメインを使用
東京製綱が公表した詐欺メールアドレスの例では、正規ドメインに1文字を追加した類似ドメインが使われています。
| 正規ドメイン | 確認された詐欺メールの類似ドメイン |
|---|---|
| tokyorope.jp | tokyoropes.jp |
| tokyoropeusa.com | tokyoropesusa.com |
いずれも「rope」の後ろに「s」が追加されています。
メールアドレス全体を確認せず、表示名やドメインの前半だけを見ると、正規の東京製綱グループのメールと誤認する可能性があります。
東京製綱は、確認された類似ドメインについて「当社グループで管理・利用しているメールアドレスではない」と明記しています。
今回の公式発表だけからは、東京製綱の正規メールサーバーや社員アカウントが侵害されたとは確認できません。
「当社ドメインを使用」と「類似ドメイン」は分けて見る必要
東京製綱のリリースタイトルは「当社ドメインを使用したビジネスメール詐欺についての注意喚起」としています。
一方、具体例として掲載されたメールアドレスは、正規の「tokyorope.jp」「tokyoropeusa.com」ではなく、「tokyoropes.jp」「tokyoropesusa.com」です。
つまり、少なくとも公表された例では、正規ドメインそのものを使った送信ではなく、見た目が似た別ドメインを利用したなりすましです。
この手口は一般に、企業名や正規ドメインに似た文字列を使って受信者を誤認させる「類似ドメイン」「タイポスクワッティング」などと呼ばれます。
一方、攻撃者が送信元表示だけを偽装したケースや、正規メールアカウントを乗っ取ったケースもBECでは発生します。
今回の東京製綱の発表では、どの方式が他に使われているかは公表されていません。
振込先口座の変更や緊急送金を要求
東京製綱は、次の内容を含むメールへ注意するよう求めています。
- 振込先口座の変更
- 新たな振込口座の指定
- 至急・緊急を要する資金移動
- 急な送金依頼
- パスワードの開示・入力要求
- ログイン認証情報の開示・入力要求
これらは警察庁やIPAがBECの代表的な手口として注意喚起している内容とも一致します。
警察庁は、BECについて、取引先や自社経営者などになりすまし、振込先口座の変更を指示して攻撃者の口座へ送金させる詐欺と説明しています。
特に、突然の口座変更や緊急送金を求めるメールでは、送信元アドレスを確認し、メールとは異なる方法で事実確認するよう案内しています。
メール本文に書かれた電話番号・URLを使わない
東京製綱は、不審なメールを受信した場合、本文に記載された、
- 電話番号
- URL
- 返信先メールアドレス
を使用しないよう呼びかけています。
攻撃者は、メール本文や署名欄に偽の電話番号を記載し、確認のために電話した被害者をそのまま攻撃者へ誘導することがあります。
警察庁もBEC対策として、メールに記載された連絡先ではなく、名刺やアドレス帳など、別途信頼できる方法で取得した連絡先を使うよう推奨しています。
東京製綱も、判断に迷う場合は、同社グループ担当者の既知の電話番号へ直接連絡するか、返信ではなく新規メールを作成して確認するよう案内しています。
正規メールアカウントの侵害は公表されていない
BECでは、類似ドメインだけでなく、攻撃者が取引先の正規メールアカウントへ侵入し、実際の商談や請求のタイミングを把握して偽の振込先を案内するケースがあります。
IPAは、攻撃者がメールアカウントへの不正アクセスや不正転送設定によってメールを盗み見る場合があると注意喚起しています。
ただし、今回の東京製綱の公式リリースには、
- メールアカウントへの不正アクセス
- メールサーバーの侵害
- メール転送設定の改ざん
- マルウェア感染
- 社内メール内容の窃取
を確認したとの記載はありません。
したがって、「東京製綱がサイバー攻撃を受けてメールを乗っ取られた」と表現することはできません。
確認されているのは、第三者が東京製綱グループの職員になりすました不審メールを送信している事象です。
金銭被害も現時点では公表されず
東京製綱は、今回の注意喚起で実際の送金被害や金銭的損失について公表していません。
そのため、
「東京製綱の取引先が詐欺送金した」
「BECによる金銭被害が発生した」
と断定する根拠はありません。
今回の公表は、確認された不審メールによる被害拡大を防ぐための注意喚起と位置付けられます。
不審メールを受け取った時点で、送金せず、別経路で確認することが被害防止につながります。
警察庁、2026年も「ニセ社長詐欺」に注意喚起
警察庁は2026年2月にも、法人の経営者などになりすまし、従業員へ送金を指示する「ニセ社長詐欺」について注意喚起しています。
この手口では、
- 実在する経営者や会社名を使ったメールを送る
- SNSグループなど別の連絡手段へ誘導する
- 会社口座の残高などを聞き出す
- 「至急の事業資金」などを理由に送金を要求する
といった流れが確認されています。
今回の東京製綱の事例でSNSへの誘導が確認されたわけではありませんが、BECではメールだけで完結せず、チャットや電話へ移行する場合もあります。
経理・財務部門だけでなく、海外拠点、営業、購買など、支払い変更に関与する担当者へも注意喚起を共有する必要があります。
BECでは送信者名より「ドメイン全体」を確認
類似ドメインを使ったBECでは、表示名だけを見ると正規の担当者と区別できない場合があります。
例えば、メールソフト上で、
「東京製綱 ○○部 ○○」
と表示されていても、実際のメールアドレスが正規ドメインとは限りません。
確認時には、
- @より後ろのドメイン全体
- 追加・欠落した1文字
lとIoと0- ハイフンの有無
- 正規とは異なるトップレベルドメイン
などを確認する必要があります。
ただし、正規アカウントそのものが侵害されているBECでは、メールアドレスだけで判別できません。
最終的には、振込先変更や高額送金をメールだけで承認しない業務プロセスが必要です。
情報システム・経理部門が確認したいポイント
BEC対策では、メールセキュリティと送金承認の両方を確認する必要があります。
- 取引先の振込先変更をメールだけで受け付けない運用になっているか
- 振込先変更時に既知の電話番号で折り返し確認しているか
- 高額送金は複数人承認になっているか
- 急ぎの送金でも承認手順を省略しないルールがあるか
- 類似ドメインを監視しているか
- SPF、DKIM、DMARCを設定しているか
- DMARCレポートを監視しているか
- メールアカウントにMFAを適用しているか
- 不審なメール転送ルールを監査できるか
- 経営者・財務担当・海外拠点を狙うBEC訓練を行っているか
- 取引先からBECの注意喚起を受けた場合、経理・営業・購買へ横断的に共有しているか
- 類似ドメインの新規登録を検知できるか
- 不審な振込依頼を受けた場合の社内報告先を決めているか
特に類似ドメインは、迷惑メールフィルターだけで完全に遮断できるとは限りません。
メール側の技術対策と、振込先変更を別チャネルで確認する業務統制を組み合わせる必要があります。
ビジネスメール詐欺の仕組みや企業側の対策については、ビジネスメール詐欺（BEC）とは？手口・事例・対策でも整理しています。
実際に取引先で金銭被害が発生した事例としては、小田原エンジニアリング、メールアカウントに約5カ月不正アクセス 約3,500通を閲覧、取引先で金銭被害も参考になります。
