取引先の振込先変更メールは本物？JPCERTが話題の今、経理の確認手順

• 届いたメールに書かれた連絡先だけを使わない
• 送金を急がせる依頼ほど確認手順を省略しない
• 送金してしまった場合は銀行・警察へ速やかに相談する

SNSの話題を日常の確認へつなげる

Yahoo!リアルタイム検索でJPCERTへの関心が見られる一方、本記事で扱うのはIPAが従来から注意を促しているビジネスメール詐欺です。10月8日に新たな取引先被害が起きたという報道ではありません。振込先変更や経営者を装う急ぎの依頼は、技術的な脆弱性対応とは別の確認が必要です。更新情報を読むことと、経理の承認手順を見直すことを分けて進めましょう。

添付の証明と署名を信用の根拠にしない

IPAの事例では振込先の変更を本物らしく見せる手口が紹介されています。会社名やロゴがある書類、丁寧な文章だけでは真正性を確認できません。メールの署名に書かれた電話番号へ連絡すると、相手が指定した窓口へ誘導されるおそれがあります。契約時や以前の取引で確認済みの連絡先を使うことが大切です。返信だけで確かめる方法も、メール経路の異常には弱い点があります。

別経路と複数人で変更内容を確かめる

編集部のチェック表は「依頼日時／変更内容／既知の連絡先／確認した相手／社内承認者」です。以前から使っている電話など別の経路で、振込先と変更の理由を確認し、社内の複数人チェックに戻します。相手が電話確認を拒む、秘密にするよう求める、急ぐ理由を強調する場合も手順を省略しません。これは一般的な整理例なので、自社の規程や銀行の案内を優先してください。

すでに支払った場合は記録して相談する

不審な相手へ送金した可能性がある場合は、金融機関と警察へ速やかに相談し、メール、送金日時、金額、口座情報などの記録を用意します。自分で相手を追いかけたり、追加の費用を払えば取り戻せるという連絡に応じたりしないでください。相談によって必ず返金されるわけではありません。社内の連絡窓口にも共有し、影響を受けた可能性がある取引の範囲を確認します。

ソフトの追加は運用手順の代わりにならない

セキュリティソフトは端末を守る対策の一部ですが、もっともらしい送金依頼の相手を保証するものではありません。まず連絡先の管理、承認手順、担当者が不在のときの代替確認を整えましょう。端末やメールの保護にも不足が見つかった場合は、利用環境に合う機能と管理範囲を比較します。高いソフトを入れれば経理確認が不要になるという考え方は避ける必要があります。