経理・総務・バックオフィス担当者のための
「偽振込先変更メール・偽インボイス・e-Taxなりすまし」防衛ルール
毎月20日・25日・月末の支払締め切り直前、経理部門が最も忙しい時間帯を狙って「今月分から振込先口座が変わりました」という巧妙な偽メール（ビジネスメール詐欺：BEC）が届きます。真面目で責任感の強い経理担当者ほど「支払いを遅らせてはいけない」と焦って手続きしてしまいがちです。担当者個人にプレッシャーや責任を背負わせず、会社の「仕組み」として100%被害を遮断する実務ルールを解説します。
この記事の要点（3行まとめ）
重要ポイント- 01. 「メールやPDFだけで完結する振込先口座の変更」を社内規定でゼロにする： どれほど本物らしいメールスレッドや適格請求書（インボイス）PDFであっても、口座番号の変更時は「事前に台帳登録された電話番号（メール記載の番号以外）」へ電話して事実確認を行います。
- 02. 会計・振込システムの「取引先口座マスタロック」と「作成・承認の分離」： クラウド会計ソフト（freee会計など）やネットバンキングで「振込データの作成者」と「最終承認者」を分け、口座マスタの変更履歴が自動で通知される設定にします。
- 03. 送信ドメイン認証（SPF / DKIM / DMARC）でなりすましメールを入口で弾く： 1文字違いの偽ドメインや「返信先（Reply-To）」のすり替えに気づけるよう、外部メール警告バナーとDMARC検証をメールサーバー側で有効化します。
01. なぜベテランの経理担当者でも「偽の口座変更メール」を見抜けないのか？
「怪しい日本語のメールならすぐに気づくはずだ」と思われがちですが、2026年現在のビジネスメール詐欺（BEC）には不自然な日本語は一切ありません。攻撃者はあらかじめ取引先（または自社）のメールボックスに侵入して過去数ヶ月分の請求書PDFや挨拶文を学習し、「いつも通りの文体」「正確な請求金額」「正しいインボイス登録番号（T＋13桁）」が書かれた請求書を送ってきます。
唯一書き換えられているのは、PDF内の「お振込先銀行口座」と、確認の電話を犯人側へ誘導するための「お問い合わせ電話番号（およびメールの返信先アドレス Reply-To）」だけです。そのため、メールの画面上だけで真偽を見破ることは、どれほど経験豊富な経理担当者であっても構造的に不可能です。
担当者個人に責任を背負わせない体制づくり
「怪しいと思ったら立ち止まる」ことを全員で称賛し合える職場環境が最大の防御になります。
システムとプロセスの多重防壁
メール以外の別経路（電話確認）と振込承認権限の分離で、人的なうっかりミスを100%防ぎます。
02. 経理・総務を狙う代表的な3つの攻撃パターン
取引先になりすます「振込先口座変更」PDF
「監査法人の指導により収納代行口座へ変更」「支店統合による口座番号変更」「従来の口座がシステム障害のため一時的に別口座へ振込希望」といったもっともらしい理由で、支払日の2〜3日前に連絡してきます。
社長・役員を装う「至急の極秘送金」指示（CEO詐欺）
「いま出張先で電話に出られないが、M&A（または新規案件）の契約金として本日15時までにこの口座へ振り込んでほしい」「社外秘なので他の社員には相談しないように」と経理担当者へ直接メールやチャットを送る手口です。
e-Tax・税務署・年金機構・銀行を装う通知
確定申告や決算期、算定基礎届の時期に合わせ、「税務調査の事前通知」「電子証明書の有効期限切れ」「法人インターネットバンキングのワンタイムパスワード更新」を装い、偽サイトで認証情報を盗み取ります。
03. 担当者個人に負担をかけない「仕組みによる3つの防衛ルール」
口座変更時は「既存台帳の電話番号への発信確認」を必須とする
取引先から口座変更の連絡を受けた際は、金額の大小を問わず、「今回のメールやPDFに書かれている電話番号」ではなく、「以前から社内の取引先台帳や過去の名刺に登録されている電話番号」へこちらから電話をかけ、「〇〇様から口座変更のメールをいただきましたが、間違いございませんか？」と確認します。
「至急・極秘・電話不可」の送金依頼はすべて一旦停止する
たとえ差出人が「代表取締役」の名前であっても、「今すぐ振り込んでほしい」「電話はつながりにくいのでメールだけで進めてほしい」という例外的な送金指示には絶対に応じないことを、あらかじめ社長自身から経理担当者へ宣言しておきます。「社長の指示であっても、規定の承認ワークフローを通らない送金は実行しないことが正しい業務である」と明文化することで、担当者が迷わずに済みます。
ネットバンキングのパスキー化・利用限度額設定・マスタロック
法人インターネットバンキングやクラウド会計ソフト（freee会計など）では、ログイン時の多要素認証（パスキー・電子証明書）を有効にし、「振込データの作成権限」と「振込実行の承認権限」を別のアカウントに分離します。また、1日あたりの振込限度額を通常の業務に必要な範囲に設定しておくことで、万が一の際にも被害を最小限に抑えられます。
| 確認項目 | 被害に遭いやすい運用（NG例） | 安全な2重確認ルール（推奨） |
|---|---|---|
| 振込先口座の変更連絡 | 届いたメールへの返信、または添付PDFに書かれた電話番号へかけて確認する | 必ず以前から社内台帳・名刺に登録されている代表番号へ発信して確認する |
| 会計ソフトの口座マスタ | 経理担当者1名で口座マスタの書き換えから振込実行まで完結できる | 口座マスタ変更時と振込承認時に別担当者（または上長）の承認を必須にする |
| 社長・役員からの緊急送金指示 | 「極秘案件だから今すぐ振り込んで」というメールやチャットに単独で従う | 「例外的な即時送金指示はすべて一旦停止し対面・電話で確認する」と規定する |
| e-Tax・銀行からの通知メール | メール本文内のURLリンクをクリックして暗証番号や確認コードを入力する | メール内リンクは開かず、公式ブックマークまたは専用アプリからログインする |
請求書・口座変更メールの真偽判定シミュレーター
手元に届いた「請求書」や「振込先変更の連絡」について、当てはまる特徴にチェックを入れてください。その場で取るべき安全な確認手順が表示されます。
よくあるご質問（FAQ）
Q. 「これまでやり取りしていた取引先の担当者のメールスレッドに返信する形」で振込先変更の連絡が来た場合でも、偽物の可能性がありますか？
はい、これが現在最も被害額が大きい「スレッド乗っ取り型ビジネスメール詐欺（BEC）」の典型例です。取引先（または自社）のメールアカウントが不正アクセスを受け、過去の請求書のやり取りをすべて盗み見られたうえで、「支店の統廃合に伴い、今月分から振込先口座が変更になりました」と本物の請求書そっくりのPDFが添付されて届きます。メールの文面や過去のやり取りの引用がどれほど自然でも、「口座番号の変更」は必ずメール以外の手段（以前から登録してある代表電話番号への発信）で確認してください。
Q. 添付された請求書PDFに「適格請求書発行事業者登録番号（T＋13桁の数字）」が正しく記載されていれば、本物の取引先だと判断してよいですか？
いいえ、インボイス登録番号（Tから始まる13桁の番号）や法人番号は国税庁の公表サイトで誰でも検索できる公開情報です。攻撃者は実在する企業の登録番号や社印風の画像、担当者名をそのままコピーして偽の請求書PDFを作成し、「振込先銀行口座の欄だけ」を犯人の口座に書き換えます。インボイス番号が正しいことは、振込先口座が本物であることの証明にはなりません。
Q. 月末の忙しい時期に毎回電話で確認するのは、経理担当者にとって心理的な負担になりませんか？
担当者個人の「気づき」や「勇気」に頼ると、「忙しそうな取引先に電話しづらい」「社長を名乗るメールに逆らいにくい」という心理的プレッシャーから被害が起きてしまいます。だからこそ、「新規口座登録と既存口座の変更は、金額にかかわらず必ず既存台帳の電話番号へ折り返し確認し、会計ソフトの口座マスタ変更は別担当者が承認する」という『会社の規則（仕組み）』として定めることが重要です。「弊社の会計規定により、口座変更時はお電話での確認が必須となっております」と伝えられるようにすることで、担当者の心理的負担をゼロにできます。
Q. 「e-Tax（国税電子申告・納税システム）」や「税務署」から『未納の税金があります』『還付金の受取手続きが必要です』というメールが届いた場合はどう見分ければよいですか？
国税庁やe-Taxから、メール本文中のURLリンクを開かせてクレジットカード番号や銀行口座の暗証番号を入力させたり、ATMの操作・コンビニでの電子マネー購入を求めたりすることは絶対にありません。税務署からの正式な通知がある場合は、メールのリンクではなく、ブックマークした公式のe-Taxサイト（または顧問税理士）からメッセージボックスを直接確認してください。
送信ドメイン認証（SPF / DKIM / DMARC / BIMI）の技術仕様と設定解説はこちら
なりすましメールをメールサーバーの入口で自動検証・隔離するためのRFC準拠DNSレコード設計と、暗号署名（DKIM）の検証プロトコルを解説しています。