メールセキュリティ

ビジネスメール詐欺（BEC）とは？SPF・DMARCなど簡単に導入できる対策を解説

: #BEC対策 , #DKIM , #DMARC , #SPF , #ビジネメール詐欺

Jul 18 2025

業務のデジタル化が進む中、企業のメールシステムを狙った「ビジネスメール詐欺（BEC）」の被害が国内外で急増しています。BECは、巧妙ななりすましや不正メールを通じて、企業から資金や機密情報を盗み取るサイバー犯罪です。特に人的ミスを突く手口が多く、従来のウイルス対策ソフトだけでは防ぎきれないのが現実です。しかし、SPF・DKIM・DMARCといったメール認証技術や、フィルタリングの強化など、比較的簡単に導入できる対策も数多く存在します。本記事では、BECの仕組みと対策方法を詳しく解説します。

目次
ビジネスメール詐欺（BEC）とは？
よくあるBECの手口と脅威
 企業が実践すべきBEC対策とは？
導入しやすいメールセキュリティ対策ツール
 まとめ：まずは簡単に導入できるセキュリティから始めよう
 メールセキュリティなら「使えるメールバスター」がおすすめ
 FAQ

ビジネスメール詐欺（BEC）とは？

BEC（Business Email Compromise）の定義と特徴

ビジネスメール詐欺（BEC）とは、攻撃者が企業内の関係者や取引先を装って、メール経由で金銭や情報をだまし取る手口の総称です。特に「CEO詐欺」とも呼ばれるなりすまし型の振込依頼や、社内の信頼関係を悪用した攻撃が中心です。

BECの最大の特徴は、ウイルスのような不審な添付ファイルを使わず、文面だけで信用を得ようとする点にあります。つまり、システムではなく「人」を標的にしたソーシャルエンジニアリング型の攻撃であり、極めて対応が難しい点が情報セキュリティ担当者の悩みといえるでしょう。

また、BECは取引関係や社内の業務フローを精査した上で仕掛けられるため、一見して不審と判断することが難しい点も特徴です。そのため、システム的な防御と併せて、従業員の意識と社内体制の強化が重要な対策となります。

なぜ企業が狙われるのか？最近の動向と被害事例

BECが企業を狙う理由は明確です。1通のメールで大きな金銭被害を与えることが可能だからです。FBIのインターネット犯罪苦情センター（IC3）が2024年3月に公開した年次報告書によると、2023年に報告されたビジネスメール詐欺の被害総額は、前年比約7.5%増の約29億4,700万ドルに達しています。この金額は、全詐欺被害額125億ドルのうちの約24％を占めています。

国内で発生した事例として、イベント事業を展開する企業が虚偽メールの送金指示により詐欺被害を受けたケースや、医療製品事業を展開する企業が取引先を装ったメールの指示に従い、約2億円を送金する被害を受けたケースなどがあります。

よくあるBECの手口と脅威

ビジネスメール詐欺（BEC）は、サイバー攻撃の中でも特に巧妙で、企業の信頼や財務に深刻な影響を及ぼすものです。ここでは、代表的な3つの手口とその脅威について解説します。

なりすましによる振込指示（CEO詐欺）

もっとも典型的なBECの手口が、経営層や取引先を装ったなりすましによる振込指示です。いわゆる「CEO詐欺」と呼ばれるこの手法では、攻撃者は実在するCEOや部門長の名前・メールアドレスに酷似したアカウントを使い、経理担当者などに対して緊急の送金を依頼します。

「今すぐ対応してほしい」「取引先との極秘案件」など、相手に考える余裕を与えず心理的圧力をかける文面が特徴です。特に海外送金や新規口座を指定されるケースが多く、気づいた時には資金の回収が困難になっていることもあります。

なりすまし対策として、送金指示に関しては電話やチャットでのダブルチェックを必須とするなど、社内の業務フローを整備することが効果的です。また、送信元ドメインの検証やSPF・DMARCの導入も有効です。

添付ファイル型攻撃やリンク型のマルウェア感染

別の脅威は、メールに添付されたファイルを介してマルウェアに感染させる添付ファイル型攻撃です。請求書や注文書、業務資料を装ったファイル（.zipや.docxなど）を送りつけ、ユーザーが開いた瞬間にウイルスが実行されます。

リンク型では、「支払確認はこちら」などと偽のサイトへ誘導し、情報を抜き取るフィッシング詐欺も横行しています。これらはBECの準備段階として情報収集に使われたり、システムへの侵入経路となったりするため、非常に危険です。

この種の攻撃への対策には、添付ファイルの自動スキャン・無害化機能を持つメールフィルタリングシステムの導入や、不審なリンクを事前にブロックするURLフィルタリングの活用が効果的です。

メール誤送信を装った内部不正

BECは外部からの攻撃だけでなく、内部不正とも密接に関わる場合が少なくありません。たとえば、実在する社員になりすましたメールを用いて、顧客情報や契約データを送信させる手口があります。これは一見すると単なるメール誤送信に見えるため、発覚が遅れやすく、被害が拡大する恐れがあります。

また、従業員が意図的に情報を漏えいさせる「内通者型攻撃」にもBECは利用されるため、単なる誤送信対策では不十分です。

対策としては、送信時の宛先確認ポップアップや、添付ファイルの暗号化・自動削除機能を持つツールを活用し、メール誤送信対策をシステムで補完することが求められます。

企業が実践すべきBEC対策とは？

ここでは、BEC被害を防ぐために企業が実践すべき具体的な対策を「ヒューマンエラー対策」と「メール送信元認証技術」の2つの観点から解説します。

社内ルールの見直しと教育（ヒューマンエラー対策）

BEC攻撃の多くは、最終的に人の判断ミスを狙って成功します。たとえば、「至急対応」「取引先変更」「社長からの特命」などの文言で心理的圧力をかけ、確認を怠らせる手法が典型です。このようなヒューマンエラーを防ぐためには、組織としてのルール整備と従業員教育が不可欠です。

まず、振込先や取引先情報の変更については、必ず複数人での承認を義務づけるワークフローを導入しましょう。また、メールでの指示や請求書の受領時には、電話や別ルートでの事実確認を行うことをルール化することが重要です。

加えて、従業員向けに定期的なサイバーセキュリティ研修やBECの模擬訓練を実施し、「なりすましメール」に対する警戒心を高める取り組みも効果的です。特に経理・財務部門、役員秘書、営業など外部と頻繁にやり取りする部門に重点を置くと良いでしょう。

SPF・DKIM・DMARCによる送信元認証の強化

BEC対策には、技術的なメール認証の導入も重要な柱となります。なかでも有効なのがSPF・DKIM・DMARCという3つのメール認証技術です。これらは「メールの送信元が正当なサーバから来ているか」を判断し、不正なメールの受信やなりすましのリスクを低減する技術です。

SPF（Sender Policy Framework）	送信元のIPアドレスが、ドメイン所有者が許可したサーバからのものであるかをチェック
DKIM（DomainKeys Identified Mail）	メールの本文やヘッダーに電子署名を付け、改ざんの有無や正当性を確認
DMARC（Domain-based Message Authentication, Reporting and Conformance）	SPFとDKIMの結果をもとに、なりすましメールへの対応ポリシー（拒否、隔離など）を定義

特に自社のドメインを持つ企業では、正しく設定・運用しなければ、なりすましに悪用される可能性があります。導入後は、メールログの定期監視やDMARCレポートの分析など、運用フェーズでの継続的な改善も重要です。

導入しやすいメールセキュリティ対策ツール

ここでは、「導入しやすさ」を重視したメールセキュリティ対策ツールについて、3つの観点から紹介します。

メールセキュリティ導入簡単：何から始めればいい？

「導入簡単なメールセキュリティ」という視点で考えた場合、最初のステップは現状把握とリスクの洗い出しです。自社で使用しているメールシステム（クラウド型かオンプレミスか）、送受信ドメイン、ユーザー数、過去のインシデント状況などを整理することで、必要な対策の優先順位が明確になります。

次に、セキュリティ対策の基本機能を網羅したオールインワン型のクラウドサービスの導入を検討しましょう。Google WorkspaceやMicrosoft 365など、主要なビジネスメール基盤には標準でセキュリティ機能が搭載されていますが、それに加えて外部のセキュリティベンダーが提供する専用のフィルタリング・監査・ログ機能付きのソリューションを組み合わせることで、より強固な対策が可能となります。

特に近年では、初期設定が簡易で、導入後すぐに効果が実感できるサービスが増えており、専門知識が乏しい環境でも無理なく運用を始めることができます。

フィルタリングと検疫ができるメールフィルタリングシステム

日々送受信される大量のメールの中には、悪意のあるリンクや添付ファイルが紛れていることがあります。これらを未然にブロックする手段として、メールフィルタリングシステムの導入が有効です。

メールフィルタリングシステムは、送受信メールをリアルタイムで分析し、不審な送信者・ウイルス・スパム・標的型攻撃を検出して隔離（検疫）する機能を備えています。特に多層防御型のサービスでは、AIや機械学習エンジンを活用して、新種のマルウェアやゼロデイ攻撃への対応も可能です。

導入に際しては、クラウド型（SaaS）のシステムを選ぶと、メールサーバに大きな変更を加えることなく、DNS設定やルーティングの調整のみで導入できる場合が多く、メールフィルタリングシステムを導入したくても社内リソースが限られている企業にも適しています。

メール監査ログによるトレースとインシデント対応

万が一、フィルタをすり抜けて不審なメールが到達してしまった場合でも、メール監査ログを活用すれば、被害の拡大を防ぎ、迅速な対応が可能になります。

メール監査ログとは、送受信されたメールの記録を詳細に保存・検索できる仕組みのことで、誰がいつどのようなメールを送受信したか、添付ファイルや本文の内容、アクセス元などを追跡できます。これにより、「不審メールの開封者は誰か」「外部への情報漏えいはあったか」といった調査がスムーズに進みます。

さらに、インシデント対応だけでなく、内部統制や監査対応、法令遵守（コンプライアンス）強化の観点からも有用です。Google WorkspaceやMicrosoft 365の管理コンソールでも基本的なログ取得は可能ですが、より詳細な分析・自動アラート通知などを求める場合は、専用のログ管理・SIEM（Security Information and Event Management）ツールと連携させることも検討しましょう。