山口県内の法人が「ニセ社長詐欺」で500万円の被害-社長を騙るメールからLINEグループ作成、翌日に送金させる手口が全国で拡大|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月27日更新日時: 2026年07月27日

山口県宇部警察署は2026年7月23日、県内の法人が社長を騙る電子メールをきっかけに500万円をだまし取られる被害が発生したと明らかにしました。手口は、法人の公開メールアドレス宛に代表者を名乗る人物からメッセージアプリのグループ作成を指示するメールが届き、作成されたLINEグループ内で経理担当者に送金を指示するというものです。山口県内でこの手口による被害が確認されたのは初めてですが、全国では2026年1月から3月までの3か月間で68件・23億円あまりの被害が確認されており、警察庁は2026年2月に「ニセ社長詐欺」として注意喚起を実施しています。被害に遭った法人の代表者名とメールアドレスは、いずれもホームページ上で公開されていました。

サマリー

2026年7月20日、山口県内の法人の事務担当者に代表者（40代）を名乗る人物からメールが到着
「新しくメッセージアプリでグループを作成してください」との指示に従いLINEグループを作成
グループには代表を名乗る人物と経理担当者2名を招待
「きょう入金が1件ある」「通帳の残高はいくらですか」「インターネットバンキングで500万円の振り込み手続きはできますか」と指示
7月21日、経理担当者1名が指定口座に500万円を振り込み
その後、代表本人への確認により詐欺が発覚
被害法人の代表者名とメールアドレスはホームページで公開されていた
全国では2026年1〜3月で68件・23億円あまりの被害を確認

項目	内容
発生地	山口県（宇部警察署管内）
発表日	2026年7月23日
被害額	500万円
初回接触	2026年7月20日（会社のメールアドレス宛のメール）
送金実行	2026年7月21日
なりすまし対象	法人の40代代表者
使用ツール	電子メール → LINEグループ
送金手段	インターネットバンキング
発覚経緯	代表本人への確認
情報の入手元	ホームページに公開されていた代表者名とメールアドレス
山口県内での確認	本手口では初

何が起きたか―メールからLINEへ、2日で完結した詐欺

宇部警察署によると、事件の発端は2026年7月20日、山口県内の法人の事務担当者のもとに届いた1通のメールでした。会社のメールアドレス宛に、当該法人の40代の代表を名乗る人物から「新しくメッセージアプリでグループを作成してください」という内容のメールが送られてきました。

話を信じた事務担当者はLINEのグループを作成し、代表を名乗る人物と経理担当者2名をグループに招待しました。この時点で、攻撃者は法人の経理担当者と直接やり取りできる経路を確保したことになります。

その後、代表を名乗る人物からLINE上で「きょう入金が1件ある」「通帳の残高はいくらですか」「インターネットバンキングで500万円の振り込み手続きはできますか」といったやり取りが行われました。これを信じた経理担当者1名が、翌7月21日に指定された口座へ現金500万円を振り込んでしまいました。

詐欺が発覚したのは、その後に代表本人へ確認を取ったときでした。初回のメール受信から送金完了まで、わずか2日という短期間で完結しています。

被害に遭った法人の代表者名およびメールアドレスは、いずれもホームページ上で公開されていたとのことです。

手口の構造―メールからSNSへの誘導が持つ意味

この詐欺の設計で注目すべきは、初回のメールで送金を求めていない点です。

サーバーサイドエンジニアとしてメールシステムの構築・運用に関わった経験から見ると、この2段階構成には合理的な理由があります。第一に、初回のメールは「グループを作成してください」という無害な依頼であるため、内容ベースのフィルタリングで検知しにくいという特性があります。送金依頼や口座番号が含まれていれば迷惑メールフィルターや従業員の警戒に引っかかりますが、グループ作成の依頼だけであれば通常の業務連絡と区別がつきません。

第二に、いったんLINEへ誘導してしまえば、企業のメールセキュリティの管理下から外れます。メールゲートウェイでの検査、送信ドメイン認証（SPF・DKIM・DMARC）、アーカイブによる事後追跡といった仕組みは、すべて社内メールシステムを前提としています。従業員個人のスマートフォン上のLINEでのやり取りには、これらが一切及びません。

第三に、SNS上ではプロフィール画像と表示名だけで人物が識別されるため、なりすましの検証がさらに困難になります。メールであれば送信元アドレスのドメインを確認するという最低限のチェックが可能ですが、LINEグループに招待された相手が本物かどうかを判定する手がかりは事実上ありません。

さらに、被害法人の代表者名とメールアドレスがホームページに公開されていたという点も、この手口の前提条件を示しています。攻撃者は特別な侵入を必要とせず、公開情報だけで攻撃を成立させています。企業のWebサイトに掲載された役員名・組織図・問い合わせ先メールアドレスは、そのまま攻撃の材料になり得ます。

全国的な被害の拡大と警察庁の注意喚起

この手口は山口県内では初の確認となりましたが、全国的には2025年12月頃から急速に拡大しています。

警察庁は2026年2月13日、特殊詐欺対策ページ（SOS47）で「ニセ社長詐欺」として注意喚起のリーフレットを公開しました。同庁は本手口を「経営者等をかたり、インターネット上で公開されている法人等のメールアドレス宛てに電子メールを送り、業務命令をよそおって、指定した口座に送金させる手口の詐欺」と定義し、「LINEグループの利用を指示されたら要注意」「社内で送金に関するルールの整備」を対策の柱として挙げています。

警視庁も2026年1月13日に注意喚起を発表しており、確認されている手口が2段階で進行することを指摘しています。まず偽の社長等を装って「業務プロジェクトに対応するためLINEのグループを作成し招待して」という一見業務とも思える内容のメールを送信し、その後、経理担当者を含んだLINEグループを作らせて「取引相手の振込先情報を送るので、今すぐお金を振り込んで」などと支払い名目で多額の送金を指示するという流れです。

被害規模も深刻です。KRY山口放送の報道によると、全国では2026年1月から3月までの3か月間で68件・23億円あまりの被害が確認されています。埼玉県では2026年1月、従業員が社長を名乗る相手の指示に従ってグループチャットを作成し、口座残高を送付したうえで7回にわたって計2億1,900万円をインターネットバンキングで送金してしまうという被害も発生しています。

IPA（情報処理推進機構）の相談窓口には、2025年12月16日から2026年3月10日までの約3か月間で本手口に関する相談が106件寄せられているとされています。IPAの「情報セキュリティ10大脅威 2026」でも、ビジネスメール詐欺（BEC）が組織編の10位に選出されています（2018年から9年連続）。

相次ぐ国内の被害事例

当サイトでもこの手口による被害を継続的に取り上げてきました。

2026年6月には鹿児島県内の2社がニセ社長詐欺の被害に遭い、合計1,500万円あまりが詐取された事案を報じています。いずれも社長の名前で届いたメールをきっかけに業務用SNSグループへの参加を求められ、その後の指示に従って送金したという、今回の山口県の事案と同一の構造でした。

上場企業でも被害が発生しています。株式会社はてなは2026年4月、CEO詐欺（BEC）により最大約11億円が流出し、特別損失11億7,900万円を計上して当期純損失に転落しました。上場企業関連ではこれまでに9社でBEC・不正送金の被害総額が約20億9,000万円超に達しています。

被害の対象は業種・規模を問いません。中小企業はもちろん、保育園・病院・農協など、代表者をかたるメールが幅広い組織に送りつけられている状況です。

情報システム部門が取るべき対策

山口県警は対策として、普段から社内でコミュニケーションを取ること、不審なメールはすぐに報告・相談すること、送信先のメールアドレスをよく確認することを呼びかけています。これらに加え、情報システム部門の観点から実施すべき対策を整理します。

第一に、送金承認プロセスのルール化です。警察庁も対策の柱として挙げているとおり、これが最も本質的な防御になります。具体的には、一定額を超える送金には複数人の承認を必須とすること、初めての振込先への送金には別途の確認手続きを設けること、そして緊急を理由とした手続きの省略を認めないことです。今回の事案では初回接触から送金まで2日しか経過しておらず、通常の承認フローが機能していれば防げた可能性があります。

第二に、チャットツール上の指示を業務命令として扱わないルールの徹底です。メールやチャットで届いた送金指示は、必ず電話など別の経路で本人に確認するという原則を全社に周知する必要があります。特に「新しくグループを作ってほしい」という依頼自体を、なりすましの兆候として認識できるよう教育することが有効です。今回の事案では、この最初の依頼の段階で気づけていれば被害は発生しませんでした。

第三に、公開情報の棚卸しです。Webサイトに掲載している役員名、部署構成、担当者名、メールアドレスは攻撃の材料になります。業務上必要な範囲を超えた情報の公開を控えること、問い合わせ用のメールアドレスを個人名ベースから代表アドレスへ変更することなどが検討に値します。

第四に、なりすましメールへの技術的対策です。DMARC、DKIM、SPFの設定によって自社ドメインを騙るメールの到達率を下げることができます。またDMARCのポリシーをrejectに設定することで、なりすましメールの受信自体を拒否させることも可能です。ただし今回の手口では、正規ドメインを騙るのではなく無関係のフリーメールから代表者名を表示名として送信するケースも多いため、技術的対策だけでは完全な防御にはなりません。表示名だけで判断せず、実際の送信元アドレスを確認する習慣づけと併用する必要があります。

第五に、報告しやすい環境づくりです。従業員が「これはおかしい」と感じたときに、上司や情報システム部門へ気軽に相談できる雰囲気があるかどうかが被害の有無を分けます。社長からの指示だと思い込んだ場合、確認を取ること自体を躊躇するという心理が働きます。この心理的障壁を下げるため、確認することを推奨する組織文化を明示的に打ち出すことが実務上の重要な対策です。