「うちは小さな会社だから、メール詐欺の標的にはならない」
そう考えている中小企業や小規模事業所は少なくありません。
しかし実際には、会社の規模に関係なく、メールを使っている企業であればメール詐欺の被害に遭う可能性があります。
特に、請求書のやり取り、取引先との連絡、クラウドサービスの利用、インターネットバンキングなどを日常的に使っている会社では注意が必要です。
最近のメール詐欺は、日本語も自然で、実在する会社やサービスを装うものも多くなっています。 一見しただけでは、本物のメールと見分けがつきにくいケースもあります。
この記事では、小さな会社でもメール詐欺対策が必要な理由と、まず確認しておきたい基本対策をわかりやすく解説します。
メール詐欺とは
メール詐欺とは、メールを使って相手をだまし、金銭や情報を盗み取ろうとする手口のことです。
代表的なものには、次のような種類があります。
- フィッシングメール
- なりすましメール
- 請求書を装った詐欺メール
- 振込先変更を依頼する詐欺メール
- 宅配業者や金融機関を装ったメール
- Microsoft 365やGoogleアカウントの警告を装ったメール
- 社長や上司を装った送金依頼メール
- 添付ファイルからウイルス感染を狙うメール
メール本文のリンクをクリックさせて偽サイトに誘導したり、添付ファイルを開かせてウイルス感染を狙ったり、 振込先を変更させて金銭をだまし取ったりする手口があります。
一つひとつのメールは何気ない連絡に見えても、実際には会社の資金や重要情報を狙っている場合があります。
小さな会社でも狙われる理由
メール詐欺は、大企業だけを狙うものではありません。
攻撃者は、会社の規模よりも、だましやすいかどうか、対策が弱いかどうかを見ています。
小さな会社では、次のような理由からメール詐欺の被害に遭いやすくなることがあります。
- メール確認や請求処理を少人数で行っている
- 不審なメールの判断を担当者一人に任せている
- 社内にIT担当者がいない
- セキュリティ教育の機会が少ない
- メールの送信元やリンク先を確認する習慣がない
- 取引先とのやり取りがメール中心になっている
- 振込先変更の確認ルールが決まっていない
小さな会社ほど、担当者同士の距離が近く、日々の判断を柔軟に行っていることが多いです。
その一方で、正式な確認ルールがないまま、急ぎの依頼や普段と違うメールに対応してしまう危険があります。
「いつもの取引先からのメールに見えた」 「社長からの依頼だと思った」 「急ぎと書かれていたので確認せず対応した」
こうした状況が、メール詐欺の被害につながることがあります。
よくあるメール詐欺の手口
1. 請求書を装ったメール
取引先や実在する会社を装い、請求書や見積書を添付したように見せかけるメールがあります。
添付ファイルを開くとウイルスに感染したり、偽のログイン画面に誘導されたりする可能性があります。
特に、普段から請求書をメールで受け取っている会社では、見慣れた業務の一部として開いてしまいやすいため注意が必要です。
2. 振込先変更を依頼するメール
取引先を装い、 「今月から振込先が変更になりました」 「こちらの口座へお振込みください」 といった内容で送られてくるメールがあります。
メールだけを信じて振込先を変更してしまうと、詐欺口座へ送金してしまう可能性があります。
振込先変更の連絡があった場合は、メール返信だけで確認するのではなく、電話など別の方法で確認することが重要です。
3. Microsoft 365やGoogleを装ったメール
「アカウントが停止されます」 「パスワードの有効期限が切れます」 「不審なログインがありました」 といった内容で、Microsoft 365やGoogleなどを装ったメールが届くことがあります。
メール内のリンクをクリックすると、本物そっくりの偽ログイン画面に誘導されることがあります。
そこでIDやパスワードを入力してしまうと、メールアカウントやクラウドサービスが乗っ取られる危険があります。
4. 宅配業者や金融機関を装ったメール
宅配業者、銀行、クレジットカード会社などを装ったメールも多く見られます。
「荷物をお届けできませんでした」 「本人確認が必要です」 「カードの利用を制限しました」 といった内容で、偽サイトに誘導する手口です。
業務用のパソコンでこうしたリンクを開き、IDやパスワードを入力してしまうと、 個人情報だけでなく、会社の業務環境にも影響が出る可能性があります。
5. 社長や上司を装ったメール
社長や上司になりすまし、経理担当者や事務担当者へ送金を依頼するメールもあります。
「急ぎで支払いをしてほしい」 「取引先への送金を今日中に対応してほしい」 「今は電話できないのでメールで対応してほしい」
このように、急がせたり、通常とは違う連絡方法に誘導したりするのが特徴です。
小さな会社では、社長と担当者の距離が近いため、かえって「社長からの依頼なら対応しなければ」と思ってしまうことがあります。
メール詐欺で起こりうる被害
メール詐欺の被害は、単に迷惑メールを受け取るだけではありません。
対応を誤ると、会社に大きな損害が出ることがあります。
- 詐欺口座へ送金してしまう
- メールアカウントを乗っ取られる
- 顧客情報や取引先情報が漏えいする
- 社内ファイルへ不正アクセスされる
- 取引先へなりすましメールを送られる
- ウイルス感染により業務が止まる
- ランサムウェアに感染してデータが開けなくなる
- 取引先からの信用を失う
特にメールアカウントが乗っ取られると、過去のメール履歴を見られたり、 取引先に対して自社を装ったメールを送られたりする可能性があります。
これは、自社だけでなく取引先にも被害が広がる危険があります。
そのため、メール詐欺対策は会社の信用を守るためにも重要です。
小さな会社でまず確認したいメール詐欺対策
1. メール内のリンクを安易にクリックしない
メール本文にあるリンクは、見た目だけでは本物かどうかわからない場合があります。
特に、アカウント停止、本人確認、支払い確認、セキュリティ警告などを理由にログインを求めるメールには注意が必要です。
重要なサービスにログインする場合は、メール内のリンクからではなく、普段使っている公式サイトやブックマークからアクセスするようにしましょう。
2. 添付ファイルを不用意に開かない
請求書や見積書を装った添付ファイルには注意が必要です。
特に、普段やり取りしていない相手からのファイルや、内容に心当たりがないメールは慎重に確認しましょう。
ExcelやWordファイルでマクロの有効化を求められた場合も注意が必要です。
不明な添付ファイルは、開く前に送信者へ確認することが大切です。
3. 振込先変更は別の方法で確認する
振込先変更のメールは、必ず別の方法で確認しましょう。
メールに記載された電話番号ではなく、これまで使用していた取引先の電話番号や、公式サイトに掲載されている電話番号で確認することが重要です。
会社として、 「振込先変更はメールだけで処理しない」 というルールを決めておくと安心です。
4. 多要素認証を設定する
メールやクラウドサービスのアカウントには、多要素認証を設定することをおすすめします。
多要素認証とは、パスワードだけでなく、スマートフォンの確認コードや認証アプリなどを組み合わせて本人確認する仕組みです。
パスワードが漏れてしまった場合でも、多要素認証があれば不正ログインを防ぎやすくなります。
特に、Microsoft 365、Googleアカウント、クラウドストレージ、会計ソフトなどは優先的に設定を確認しましょう。
5. パスワードの使い回しをやめる
複数のサービスで同じパスワードを使い回していると、ひとつのサービスから情報が漏れた場合に、他のサービスにも不正ログインされる危険があります。
メールアカウント、クラウドサービス、ネットバンキング、業務システムなど、重要なサービスでは別々の強固なパスワードを設定しましょう。
管理が難しい場合は、パスワード管理ツールの利用も検討できます。
6. 判断に迷うメールを共有できる体制を作る
メール詐欺対策では、担当者一人に判断を任せないことが大切です。
少しでも不審に感じたメールは、社内で確認したり、ITに詳しい担当者や外部のIT相談先に確認したりできる体制を作りましょう。
小さな会社では、正式なセキュリティ担当者がいないことも多いですが、 「迷ったら一人で判断しない」 というルールだけでも被害防止につながります。
メール詐欺を見分けるためのチェックポイント
不審なメールを見分けるためには、次のようなポイントを確認します。
- 送信元メールアドレスが不自然ではないか
- 差出人名だけで判断していないか
- メール内のリンク先URLが公式サイトと一致しているか
- 添付ファイルの内容に心当たりがあるか
- 急がせる表現が使われていないか
- 支払い先や振込先の変更を求めていないか
- IDやパスワードの入力を求めていないか
- 日本語や会社名、署名に違和感がないか
- 普段の取引先とのやり取りと違う点がないか
ただし、最近の詐欺メールは非常に巧妙です。
すべてを見た目だけで判断するのは難しいため、重要な手続きや金銭に関わる内容は、必ず別の方法で確認することが大切です。
メール詐欺対策は社内ルール化が重要
メール詐欺対策は、担当者の注意力だけに頼るのではなく、社内ルールとして整備することが重要です。
たとえば、次のようなルールを決めておくと安心です。
- 振込先変更はメールだけで処理しない
- 不審な添付ファイルは開く前に確認する
- メール内リンクからIDやパスワードを入力しない
- 重要な支払いは複数人で確認する
- 退職者のメールアカウントは速やかに停止する
- 迷ったメールは一人で判断しない
小さな会社では、細かい規程を作るのが難しい場合もあります。
しかし、最低限の確認ルールを決めておくだけでも、メール詐欺による被害を防ぎやすくなります。
まとめ
メール詐欺は、大企業だけの問題ではありません。
小さな会社でも、請求書、取引先との連絡、クラウドサービス、メールアカウントなどを日常的に使っている以上、被害に遭う可能性があります。
特に、請求書を装ったメール、振込先変更依頼、Microsoft 365やGoogleを装ったフィッシングメール、 社長や上司になりすました送金依頼には注意が必要です。
まずは、メール内リンクを安易に開かない、添付ファイルを不用意に開かない、振込先変更は別の方法で確認する、 多要素認証を設定する、といった基本対策から始めましょう。
メール詐欺対策は、特別な企業だけが行うものではありません。
小さな会社だからこそ、担当者一人に任せず、会社として確認ルールを整えておくことが大切です。
IT顧問のITAでは、中小企業のメール詐欺対策を支援しています
IT顧問のITAでは、八王子市を中心に、中小企業・小規模事業所様のIT環境をサポートしています。
「不審なメールが届いて不安」
「メールアカウントのセキュリティを見直したい」
「多要素認証を設定したい」
「社内にIT担当者がいないため、何から対策すればよいかわからない」
このようなお悩みがありましたら、お気軽にご相談ください。
メール設定、セキュリティ対策、パスワード管理、バックアップ、パソコン管理など、 会社の状況に合わせて無理のない対策をご提案いたします。
