この記事のポイント（TL;DR）
- BEC詐欺の世界被害額は年間29億ドル超。日本企業も無縁ではない
- 最大の防御は「メール1本で送金を完結させない」業務フローの設計
- AI音声クローニング詐欺には検知ツールと確認フローの併用が必要
- このチェックリストは経理・財務・コンプライアンス担当者がそのまま使用可能
BEC詐欺（Business Email Compromise、ビジネスメール詐欺）は、日本企業においても年々被害件数が増加しています。FBIのIC3 Annual Report（2023年）によると、BEC詐欺の世界被害総額は**2023年単年で約29億ドル（約4,400億円）**に上り、サイバー犯罪の中で金融被害が最大の犯罪類型です。
本記事では、経理・財務・コンプライアンス担当者がすぐに使えるBEC詐欺対策の内部統制チェックリストを提供します。
BEC詐欺の主な手口（2026年最新）
BEC詐欺は年々手口が巧妙化しています。主な攻撃パターンを把握することが対策の第一歩です。
| 手口 |
概要 |
特徴 |
| CEO/役員なりすまし |
社長・CFOを装ったメールで緊急送金を指示 |
「秘密で」「今日中に」などの文言で焦らせる |
| 取引先なりすまし |
仕入先・顧客のメールアカウントを乗っ取り、振込先変更を指示 |
正規メールアドレスからの送信のため発見困難 |
| 弁護士・コンサルなりすまし |
M&A・訴訟を口実に秘密保持を求めながら送金を指示 |
外部専門家という権威を利用 |
| AI音声クローニング |
CEOの音声を模倣した電話で送金を指示 |
2024年香港で約37億円の被害事例あり |
| リアルタイムディープフェイク |
ビデオ会議でCFOの顔を偽造し指示 |
最新技術で肉眼での判別が困難 |
詳細な事例はCEO詐欺の手口と国内外事例【2026年最新】をご参照ください。
内部統制チェックリスト
▌業務プロセス編（最重要）
経営陣への承認を必要とせずに実施できる、最も効果的な対策です。
送金・振込承認フロー
メール確認フロー
▌技術的対策編
メール認証設定
端末・アカウント管理
AI音声・映像検知
▌組織・教育編
社員教育
対応体制
被害発生時の初動対応（タイムライン）
BEC詐欺の被害に気づいた場合、最初の数時間が資金回収の鍵です。
| 時間 |
対応 |
| 0〜1時間 |
送金した金融機関に緊急連絡し、振込停止・組み戻し依頼 |
| 1〜3時間 |
警察（サイバー犯罪相談窓口）に被害届の準備 |
| 3〜24時間 |
経営陣・法務・サイバー保険会社への報告 |
| 24時間以降 |
フォレンジック調査・再発防止策の策定 |
日本では「振り込め詐欺救済法」により、一定の条件下で被害回復分配金の請求が可能です。ただし、海外口座への送金は回収が極めて困難なため、予防措置が最重要です。
AI音声クローニング詐欺への対策
2024年以降、AIで音声を模倣した「CEO詐欺電話」の被害が急増しています。2019年英国での事例（Wall Street Journal報道）を皮切りに、2024年香港では約37億円の被害が発生しました。
音声クローニング詐欺の特徴：
- わずか3〜15秒の音声サンプルから高精度な音声複製が可能
- 電話越しでは肉眼・耳での判別がほぼ不可能
- 「緊急」「秘密で」という文言で確認プロセスをスキップさせようとする
対策の柱：
- 確認フロー：電話での送金指示は必ず登録済みの別番号に折り返す
- AI検知ツール：spellbreakerなどのディープフェイク検知ツールで音声の真偽を自動判定
- 教育：「社長の声でも確認する」ことが失礼ではないという文化の醸成
まとめ：BEC詐欺対策の優先順位
すべての対策を一度に導入するのは現実的ではありません。以下の順序で段階的に実施することを推奨します。
フェーズ1（すぐに実施）
- メールによる送金指示の単独完結を禁止
- コールバック確認ルールの策定・周知
- 多要素認証（MFA）の全社導入
フェーズ2（1〜3ヶ月以内）
- DMARC/DKIM/SPFの設定と監視
- BEC詐欺訓練の実施
- 被害発生時の初動対応フロー策定
フェーズ3（3〜6ヶ月）
- AI音声・映像検知ツールの導入検討
- サイバー保険の見直し
- 定期的なセキュリティ監査
G1 Technologyでは、AI音声クローニング・ディープフェイクに対応した検知ソリューション「spellbreaker」を提供しています。CEO詐欺・なりすまし対策について、詳しくはお問い合わせまたはデモのお申し込みをご検討ください。
関連記事：
