BEC詐欺の被害額と対策｜サイバー保険の補償は？

ビジネスメール詐欺(BEC)による被害は、1件あたり数百万円から数千万円規模が珍しくなく、企業によっては億単位の被害に発展するケースも報じられています。送金被害額自体はサイバー保険では補償されにくく、組織的な予防策と保険設計の両輪での備えが求められます。

ビジネスメール詐欺(BEC)とは何か

ビジネスメール詐欺(Business Email Compromise、略してBEC)は、取引先や経営者になりすましたメールを企業の経理担当者などに送付し、偽の口座へ送金させる金銭詐取の手口です。海外取引や輸入取引の場面で、取引先を装って「振込先の口座が変更になりました」と連絡が入るケースが代表的なパターンといえます。

メール一通で完結する単純な手口に見えますが、攻撃者は事前に標的企業の業務フローや取引関係を念入りに調査しているため、見破ることが難しいのが特徴です。経理担当者が「いつもの取引先からの連絡」と信じて振り込んでしまうと、その時点で数百万円から数千万円規模の損失が確定します。

被害規模は数百万円から数千万円が標準

BECの被害額は、海外取引や輸入関連の振込指示に絡む事例が多いことから、1件あたりの送金額が大きくなる傾向があります。国内でも、日本航空（JAL）が取引先になりすました偽の請求書を信じて約3億8,000万円を送金してしまった事例が2017年に報じられており、大企業でも見破れない手口であることが分かります（出典: JALもだまされた こんなに怖い「ビジネスメール詐欺」（ITmedia））。

業務的な海外送金が日常的にある商社・メーカー・輸入卸などでは、月次の取引金額が大きいため、1回の送金指示でも数千万円単位の被害が発生します。経理担当者にとって「いつもの送金処理」が、結果として組織を揺るがす大事故につながりかねません。

被害規模の目安	想定される企業・業種
数百万円	取引先1社あたりの月次送金額が中規模の企業
数千万円	海外取引・輸入取引が中心の商社・メーカー
億単位	高額な海外送金が常時発生する上場企業・大企業

上場企業を含む高額被害事例

直近では、上場企業や著名企業を含む高額被害が複数報じられています。たとえば株式会社はてなは、2026年4月にビジネスメール詐欺と見られる不正な送金指示により最大約11億円の被害を公表しました。従業員のアカウントから外部口座への送金が4月20日・21日に実行されており、被害拡大の背景として「1人の従業員が短期間で高額送金を完結できる体制」が指摘されています。

株式会社はてな（東証グロース：3930）は、不正な送金指示に起因する資金流出事案が発生したと適時開示した。4月20日および21日に従業員のアカウントから同社の銀行預金口座の資金が外部口座へ送金されており、被害対象額は現時点で最大約11億円に上る。

被害額 最大約11億円 ～ はてな、不正な送金指示に起因する資金流出（ScanNetSecurity）

国内のIT企業を狙ったBEC事例として、上場企業を含む複数社で億単位の被害が発生する段階に入ったと専門家は分析しています。

サイバー保険の専門家として詳しい話を聞きたい場合は、サイバー保険の専門スタッフへの相談はマネーサロンへから問い合わせ可能です。

連休前・盆前は被害が増える傾向

ビジネスメール詐欺は、企業の業務リズムを攻撃者が読んでいるため、大型連休前や盆前といった担当者の判断が急ぎがちな時期に発生しやすい傾向があります。「連休前に処理しておきたい」「年末までに送金しておきたい」という心理が働く時期は、確認プロセスを省略しやすく、攻撃側にとっては好機となります。

過去の高額被害事例も4月中旬の連休前に発生しており、6月末から7月の盆前にかけては引き続き警戒が必要です。年度末・四半期末も同様で、業務量が増えるタイミングほど、組織として確認手順を緩めない運用が重要になります。

振込後の資金回収はほぼ不可能

BECに遭ってしまった場合、振り込んでしまった資金を取り戻せる可能性は極めて低くなります。詐欺グループは資金が着金した瞬間に複数の口座へ分散させ、海外口座を経由して資金洗浄を進めるため、数日経過すると追跡が事実上できなくなります。

このため、BEC対策の基本は「振り込んでしまった後の回収」ではなく「振り込む前の防止」に置く必要があります。回収を前提とした保険設計はそもそも成り立たないという前提で、組織のルール整備に投資することが現実的な選択肢です。

サイバー保険の補償範囲

ビジネスメール詐欺による送金被害が発生した場合、サイバー保険の補償対象になるかは、被害の発生経路によって扱いが分かれます。

送金被害額自体は補償対象外が一般的

詐欺によって自社が誤って送金してしまった被害額自体は、サイバー保険の補償範囲外となるのが一般的です。サイバー保険は本来、サイバー攻撃による情報漏洩・業務停止・賠償責任などをカバーする商品であり、人の判断を狙った金銭詐取そのものは想定外の領域に位置付けられます。

送金被害そのものをカバーする保険としては、犯罪保険(Crime Insurance)や金融犯罪保険があります。米国では一般的な保険商品ですが、日本ではあまり普及しておらず、代理店でも扱える事業者は限られているのが現状です。

アカウント乗っ取り起因なら一部補償の可能性

一方、BECの起点がメールアカウントの不正アクセス・乗っ取りであった場合は、サイバー保険で対応できる費用が出てきます。

補償対象になり得る費用	内容
経路調査費用	アカウント侵入経路の特定、フォレンジック調査
復旧費用	アカウント停止、パスワード再設定、影響範囲の調査
通知・お詫び費用	取引先や顧客への事故通知、対応費用

つまり「送金してしまったお金そのもの」は戻らなくても、「事故対応のためにかかった費用」はサイバー保険で対応できる可能性があります。アカウント乗っ取りを伴うBECは、サイバー保険と犯罪保険の双方を視野に入れた設計が望ましいといえます。

犯罪保険・金融犯罪保険の位置付け

送金被害自体をカバーしたい場合に検討候補となるのが、犯罪保険・金融犯罪保険です。日本では入っている企業が少なく、代理店としても扱う機会が限られていますが、商品自体は存在します。

一般的な補償額は最大10億円程度とされ、保険会社との交渉によって設計します。ただし、いずれの保険も「社内ルールがしっかり整備されていること」が補償の条件になることが多く、保険に加入していれば社内対策をしなくてよい、という性質のものではありません。

BEC手口の進化

BECの手口は年々巧妙化しています。攻撃者の精度が上がっているため、従来「不審なメールには注意」というレベルの教育では防ぎきれない段階に来ています。

メールアカウントの乗っ取り

最も警戒すべき手口は、メールアカウント自体の乗っ取りです。攻撃者はアカウントにログインできれば、過去のメール履歴をすべて確認できます。そこから取引先との文脈・取引金額・送金先・担当者の口調まで模倣して、完璧な文脈でなりすましメールを送信してきます。

受信側からすると、「いつもの担当者から、いつもの文体で、いつもの取引に関する連絡が来た」状態になるため、見破ることが極めて困難です。

退職者アカウントの悪用

組織を退職した社員のメールアカウントが残ったままになっていると、それが乗っ取りの入口になる場合があります。退職者本人が悪用するケースもあれば、退職後に放置されたアカウントが第三者に乗っ取られて踏み台になるケースもあります。

ビジネスチャットの退職者アカウント管理については、関連リスクとして併せて整理しておくと安全です。放置された退職者アカウントが招くリスクと対策は退職者アカウント放置のサイバーリスクで詳しく解説しています。

ドメインの偽装

正規ドメインと酷似した偽ドメインを使う手口も継続的に確認されています。「example.co.jp」を「examp1e.co.jp」(数字の1)や「example-co.jp」(ハイフン挿入)に変えるなど、記号や文字を1箇所だけ変更したドメインは、急ぎのメール対応では見落としやすくなります。

ビジネスチャットとの併用

最近の進化として、メールとビジネスチャットを併用する手口が挙げられます。「先ほどメールで送った件、ご確認お願いします」とチャットで先に予告を入れることで、受信側の心理的なハードルを下げる方法です。

メールとチャット双方から同じ趣旨の連絡が入ると、受信側は「複数のチャネルで連絡が来ているから本物だろう」と判断しやすくなります。ビジネスチャットも含めたアカウント管理が必要な段階に入っています。チャット上で社長や取引先を装う振込詐欺の手口はチャット振込詐欺の手口と保険での備えで詳しく解説しています。

組織的に防ぐためのルール作り

BECは「人を狙った詐欺」であり、社員の注意力だけで防ぎきることは困難です。組織としての仕組みで防ぐ発想が必要になります。

振込プロセスのルール整備

経理業務の中で、振込指示が発生する経路と承認フローを明文化します。誰がどのような連絡を受けたら、どこで止めて、どのような確認手順を踏むかを、メール・チャット・電話・対面など連絡経路ごとに定めます。

特に振込先の変更指示が入った場合は、その時点で承認フローを開始するルールにします。たとえメールやチャットで「いつもの担当者」から連絡が来たとしても、自動的に処理を止める仕組みです。

別経路での確認(電話確認)

振込先の変更や高額送金の指示が入った場合は、別経路で本人確認する運用にします。代表的に効果が高いとされるのは電話確認で、メールやチャットでやり取りしている経路とは別の連絡手段で本人に確認します。

連絡先は、過去のメール署名や取引先データベースに記録されている公式の電話番号を使います。なりすましメールに記載されている電話番号にかけても、攻撃者につながるだけで意味がありません。

高額送金時のダブルチェック・複数承認

一定金額以上の送金については、複数人での承認を必須にします。1人の判断で完結できる金額の上限を組織として設定し、それを超える送金には承認者を増やす仕組みです。

株式会社はてなの事例で指摘されたように、「1人の従業員が短期間に高額送金できる体制」自体がリスクです。承認者の数だけでなく、承認のタイミング・確認方法も含めて、複数人が独立して判断できる設計にします。

例外を許さないルール

最も重要なのが、例外を許さないルールとして運用することです。社長名義で急ぎの振込指示が入ったり、取引先から「今回だけ特別に」と言われたりしても、確認手順を省略しない運用を徹底します。

攻撃者はまさに「急ぎ」「今回だけ」「他の人には言わないで」という心理的圧力を使ってルールを揺さぶってきます。「ルールはルール」として、社長であっても、創業者であっても、例外なく確認手順を踏ませる組織文化が、最終的な防波堤になります。

対策の柱	具体的な内容
プロセス整備	振込指示の受領経路と承認フローを明文化
別経路確認	振込先変更・高額送金は電話で本人確認
ダブルチェック	一定金額以上は複数人で独立して承認
例外排除	社長・取引先からの急ぎ依頼でも手順を省略しない

中小企業でも導入できる現実的なステップ

「ダブルチェックや承認フローを整えたいが、人手が足りない」という中小企業も少なくありません。現実的なスタート地点としては、以下の3ステップから着手するのが取り組みやすいといえます。

• 振込先変更が発生した時点で止める社内ルールを文書化する
• 公式の電話番号リスト(取引先・本社代表)を整備し、確認時に使えるようにする
• 一定金額以上は社長または役員の口頭承認を必須にする

これだけでも、メール経由の振込先変更指示に対する防御線は大きく強化されます。完璧な仕組みを最初から作るのではなく、被害が出やすいポイントから順に手当てしていく考え方が現実的です。

サイバー保険と犯罪保険の組み合わせ

BECに包括的に備えたい場合、サイバー保険と犯罪保険を組み合わせる設計が選択肢として浮上します。日本ではまだ犯罪保険の取扱代理店が少ないため、相談先を選ぶ際にも注意が必要です。

サイバー保険でカバーする領域は、メールアカウント乗っ取り起因の事故対応費用や、付帯する緊急対応サービスです。犯罪保険でカバーする領域は、送金被害そのものや内部不正による金銭損害です。両者は補完関係にあるため、自社の取引内容に応じて補償の組み合わせを検討するのが合理的です。

関連リスクとして併せて検討したい論点

BEC単体ではなく、関連するサイバーリスクとセットで備えを考えると、抜け漏れを防ぎやすくなります。たとえばサイバー保険でフォレンジック調査費用や復旧費用はどこまで対応できるかや、業務停止による逸失利益の補償範囲は、BEC事故対応とも重なる論点です。

また、アカウント乗っ取りの起点となるテレワーク環境のセキュリティについては、テレワークのサイバー事故対応で具体的な対策を整理しています。

よくある質問