チャット振込詐欺の手口と保険での備え

ビジネスチャットを悪用したなりすまし振込詐欺が2026年に入って急増しています。メール経由のビジネスメール詐欺（BEC）と同じ手口が、ChatworkやSlack、Microsoft Teamsといった社内ツールに広がり、被害額も高額化している状況です。

2025年後半以降、報道やSNSで取り上げられる被害規模は一件あたり数百万円から1億円近くへと段階的に上昇しており、もはや大企業だけの話ではなくなっています。中小企業であっても取引金額が月数千万円規模になる業種であれば、十分に攻撃対象になり得ます。社外との連絡がチャット中心に移行しているほど、攻撃者にとっての潜入経路も増える構造になっています。

社長や取引先を装った偽アカウントからチャットで「至急振り込んでほしい」と指示され、数千万円規模の送金被害に遭う事例が複数報告されています。チャットは社内ツールという安心感から疑われにくく、メール経由の詐欺よりも被害が深刻化しやすい傾向があります

この記事では、サイバーリスクの法人コンサルティングを担当する平涼太へのインタビューをもとに、チャット経由のなりすまし振込詐欺の手口、サイバー保険での補償可否、そして企業が今すぐ見直すべき承認フローのポイントを解説します。経理担当者はもちろん、情報システム部門や経営企画の担当者が自社ルールを点検する際のチェックリストとして活用いただける構成にしています。

ビジネスチャットを悪用したなりすまし振込詐欺とは

ビジネスチャットでのなりすまし振込詐欺は、乗っ取ったアカウントや偽のアカウントを使って社長や取引先を装い、経理担当者に金銭を振り込ませる手口です。2026年3月19日にはZUU（東証グロース・4387）で、ビジネスチャット上で役職員を装った第三者からの不正な送金指示に従い、外部口座に約9,600万円が振り込まれる事案が発生したと公表されています。

同様になりすましで送金を指示する手口は、他の上場企業でも確認されています。2026年2月には、ベルトラ（7048）の子会社リンクティビティで、代表者を装ったメールから社外のSNSアカウントへ誘導され、そこで虚偽の送金指示を受けて約5,000万円が流出した事案が公表されました（ニセ代表取締役「5000万円送金して」──上場企業の子会社が詐欺被害（ITmedia NEWS））。単発の被害額が大きいため、経営層としても看過できないテーマになってきました。

チャット経由の詐欺が急増している背景には、業務におけるビジネスチャットの比重が大きくなったことがあります。かつてメールで行っていた社内連絡や取引先とのやり取りの多くが、今ではChatworkやSlack、Microsoft Teamsに置き換わっています。社外の取引先を自社のチャットグループに招待して業務を進める企業も増えており、外部アカウントが社内に紛れ込みやすい環境が生まれています。

チャット経由の詐欺は、メールのような「迷惑メールフォルダに振り分けられる」「受信元アドレスが怪しい」といったフィルタリングが効きにくい点も特徴です。社内の信頼されたツール上でメッセージが届くため、経理担当者が疑う心理的ハードルが下がってしまいます。

加えて近年は、生成AIを使った高度な攻撃も観測されるようになっています。公開されているセキュリティ情報を突破するほどのAIエージェントは、まだ一般公開されていないものの、一部の研究機関や先行ユーザーに限定的に提供されているとの情報があります。こうした技術進化のスピードは指数関数的であり、ステルス性の高い攻撃が今後増える可能性も否定できません。

メール経由のBECとチャット経由詐欺の違い

従来のビジネスメール詐欺（BEC）とチャット経由のなりすまし詐欺は、根本的な手口は共通していますが、発見しづらさや被害スピードに違いがあります。両者の特徴を整理してみましょう。

項目	メール経由のBEC	チャット経由の詐欺
信頼度	受信者が警戒しやすい	社内ツールのため信頼される傾向
反応速度	数時間〜1日程度で返信	即時返信・即時送金が起きやすい
検知のしやすさ	迷惑メール判定で気付きやすい	判定の仕組みがなく気付きにくい

ビジネスメール詐欺の代表的な手口は、取引先の担当者を装った偽メールを送って振込先口座を変更させるものでした。これに対してチャット経由の詐欺は、偽アカウントがグループに参加することで「社内関係者として発言できる権限」を得てしまうため、指示を出す側の立場を容易に偽装できます。

社長を装った人物がビジネスチャット上で新規グループを作成し、経理担当者に契約保証金などの名目で送金を指示する手口も確認されています。新規グループに見慣れた名前のアカウントが並んでいれば、経理担当者が不審に思わず処理してしまう構造が生まれやすくなります。

メールとチャットでは、企業側に求められる防御の設計思想が変わります。メールは件名・送信元・署名をしっかり確認すれば異変に気付けましたが、チャットは「グループ構成そのものが正しいか」「指示を出しているアカウントIDが正規のものか」まで踏み込んで確認しなければ防ぎきれません。

偽の経理グループを作成する手口の実態

被害を深掘りしていくと、典型的なパターンとして「偽の経理グループを作成して振込指示を出す」手口が浮かび上がります。代表的な流れは次のとおりです。

• 攻撃者がChatworkなど社内チャットにアクセスできる端末やアカウントを乗っ取る
• 社長や役員の名前・アイコンを流用した偽アカウントを作成する
• 「緊急の振込案件があるため新しく経理専用グループを作った」という名目で新規グループを立ち上げる
• 本物の経理担当者を巻き込みつつ、他のメンバーを招待しないよう釘を刺す
• LINEなど外部ツールに誘導し、孤立させた状態で振込指示を出す

退職者アカウントの管理が甘い場合、退職済みの社員のアカウントを悪用して偽グループを作成することも可能です。退職時にチャットツールのアカウントを即座に停止していない企業では、乗っ取りの入口として悪用されるリスクが高まります。アカウント管理の観点では、退職者のチャットアカウント管理で起こる情報漏洩リスクも合わせて確認しておくと役立ちます。

攻撃者はまた、被害者を心理的に追い込む工夫もしています。「監査対応で今日中に送金が必要」「M&Aの機密案件なので他のメンバーには共有しないでほしい」といった文脈で指示を出し、経理担当者が社内の他のメンバーに相談するハードルを上げていきます。チャット上で他の役員を招待しようとすると「情報管理の観点から控えてほしい」と制止されるため、二重確認が働きにくい状況が作られます。

被害が発生しやすい時期と業種

チャット経由のなりすまし詐欺は、企業活動のなかで「確認が甘くなりやすい時期」に集中して発生する傾向があります。どのタイミングが狙われやすいのかを押さえておくと、社内で警戒レベルを上げるべき時期を判断しやすくなります。

• 月末・月商が立て込んだタイミングで経理が多忙になる時期
• 3月決算企業が多いため、決算期前後の駆け込み支払いが増える時期
• ゴールデンウィーク・年末年始・夏季休暇など長期休暇の直前
• 管理職や経営層が不在になりやすい連休中

業種としては、建設・不動産・製造業など、取引先への大口支払いが日常的に発生する業種が狙われやすい傾向があります。振込額が数百万円〜数千万円規模であっても不自然に映らないため、詐欺指示の金額も高額に設定されがちです。また、フランチャイズや多店舗経営の企業は、本部・支店間でのチャット連絡が多く、偽装の余地が広がる点にも注意が必要です。

こうした時期的な傾向は、攻撃者側にとっても共通認識になっています。長期休暇直前にまとめて詐欺メッセージが送信されるケースも珍しくなく、連休中に気付いても現金は既に海外口座へ移されているといった事態が起きやすくなります。

加えて、支払いサイトの入れ替わりが激しい業界や、季節的に取引先との金額調整が発生する業界も注意が必要です。期末の棚卸・設備投資の年度末清算・源泉徴収の還付処理など、通常とは異なる振込フローが発生するタイミングは、攻撃者にとって格好の紛れ場所になります。

チャット経由の振込詐欺はサイバー保険で補償されるのか

ここまで読んで気になるのが、「もし振り込んでしまった場合、サイバー保険で補償されるのか」という点です。結論からいえば、振り込んだ金銭そのものを補償するのは難しいケースが一般的です。

日本国内ではあまりメジャーではありませんが、海外では「犯罪保険（Crime Insurance）」という制度があり、BECやなりすまし詐欺による送金被害を補償する設計になっています。アメリカではこうした商品が比較的普及していますが、日本では商品ラインナップが限られ、中小企業が気軽に加入できる状況ではありません。

ただし、サイバー保険が一切役に立たないわけではありません。たとえば偽アカウントを作成される原因が「社員アカウントの乗っ取り」であった場合、乗っ取りに起因する情報漏洩対応費用・フォレンジック調査費用・被害者への通知費用などは、サイバー保険の補償対象に含まれる設計が一般的です。補償範囲の詳細は情報漏洩時の調査・復旧費用でも解説しています。

送金被害そのものの補償を検討したい場合には、サイバー保険とは別枠で犯罪保険や使用人賠償責任保険などの検討が選択肢になります。まずは自社で想定される被害額と、既存契約でカバーできる範囲を整理したうえで、必要な上乗せ補償を検討することが大切です。

また、振込詐欺が発生した直後には、警察への被害届提出と同時に、送金先の金融機関へ速やかに連絡することで資金移動の凍結が間に合う場合があります。現実には海外口座への送金は数時間以内にさらに転送されるため、発覚から数時間が勝負になります。サイバー保険の相談窓口や付帯する事故対応サービスは、こうした初動対応のサポート窓口としても機能するケースがあり、加入時には補償額だけでなく「事故時にどの範囲のサポートが受けられるか」まで確認しておくと安心です。

詐欺被害を防ぐための承認フロー設計

保険で損害を取り戻すのが難しい以上、詐欺被害は「発生させない仕組み」で防ぐのが基本になります。承認フローの設計は、中小企業でも明日から着手できる重要な対策です。

承認フロー設計のポイントを整理すると、次のようになります。

• 振込依頼者・承認者・実行者を分離し、同一人物が複数ロールを兼ねない
• 一定金額以上の振込は役員決裁を通す社内ルールとして明文化することが推奨されます
• チャットでの指示は受付の役割にとどめ、承認は別システムまたは電話で行う
• 振込先口座の初回登録時には、取引先の正規ルートで口座情報を確認する

承認フローを整備する際には、金額階層ごとに異なるチェックを設定するのがおすすめです。たとえば次のような階層化が考えられます。

振込金額	承認者数	追加確認
10万円未満	1名	定型取引先のみ許可
10〜100万円	2名	電話確認を必須
100万円以上	3名以上	電話＋対面または社内決裁システム

金額の区切りや確認手段は自社の業態に合わせて設計してください。重要なのは、チャットで届いた指示だけで処理を完結させないことです。

チャット運用ルールとして企業が整備すべきポイント

承認フローと並行して整備したいのが、チャットツールそのものの運用ルールです。仕組みとルールの両面から守ることで、単発の対策が破られても二重三重に防御が効きます。

最低限整備したいチャット運用ルールは以下のとおりです。

• 二段階認証を全社員・全アカウントで有効化することを推奨ルールとする
• パスワードの使い回しを禁止し、パスワードマネージャーの利用を推奨する
• 社外メンバーをグループに招待する際の承認ルールを定める
• 新規グループの作成時はIT管理者への通知を必須化する
• 退職者が発生した際のアカウント停止チェックリストを整備する

また、偽アカウントの特徴を社員教育に組み込むことも重要です。たとえば「アカウントIDの末尾数字が1文字違うだけ」「プロフィール写真は同じだが登録日時が最近」といった特徴は、よく知られた偽アカウントのサインです。次のような違和感を共有するだけでも、現場の警戒心が高まります。

• 通常の連絡ルートと異なるチャネルから突然依頼が来る
• 「電話は避けてほしい」「他のメンバーには共有しないで」と念押しされる
• 普段やり取りしない時間帯（深夜・早朝・休日）に指示が届く
• 文面の敬語や語尾が、普段の発信者と微妙に違う

今すぐ見直すべきチャット振込運用の5つのポイント

最後に、経理業務でビジネスチャットを使っている企業が、今すぐ見直すべき項目を5つに絞って整理します。自社の運用と照らし合わせながら、どこから手を打つかを検討してみてください。

• チャットだけで完結する振込指示フローを洗い出し、電話や決裁システムによる二重確認を追加する
• 新規グループ作成・外部アカウント招待のルールを明文化し、IT担当への通知を必須化する
• 全社員の二段階認証設定状況を棚卸しし、未設定のアカウントを速やかに有効化する
• 退職者のチャットアカウント停止を含む退職チェックリストを整備し、運用を形骸化させない
• 詐欺の典型的な兆候を社員に周知し、違和感を覚えたら確認を取る文化を醸成する

実際に被害が発生した後は、再発防止策の策定・社内広報・取引先への説明・警察や金融機関への連絡など、対応業務が一気に押し寄せます。事前に運用ルールを整えておくことで、万一の際も落ち着いて対応できる体制が作れます。

サイバーリスク全体を俯瞰した対策については、中小企業向けのサイバー保険入門やBCPにサイバー攻撃を組み込む考え方も参考になります。

過去事例に共通する3つの兆候

報道された被害事例を振り返ると、発覚前に共通して観測される「兆候」があります。社内でこれらのサインを見聞きしたら、即座に振込を止めて確認を取る運用にしておきたいところです。

• 社長・役員などの上位者から、普段は使わないチャネルで突然指示が来る
• 取引先との新規口座案件について、事前アナウンスなしに振込先変更が要請される
• 「他のメンバーには共有しないでほしい」「今日中に処理してほしい」といった情報統制と急ぎの組み合わせがある

社員に兆候を周知するときは、長文のマニュアルを配布するよりも、1ページにまとめたチェックシートや短い動画のほうが定着しやすくなります。日々の業務で繰り返し思い出してもらうために、経理ツール起動時のポップアップや、振込承認画面に注意書きを常設するといった工夫も有効です。

加えて、詐欺被害が発生してしまった際に備え、対応フロー（誰が・どの順序で・どこに連絡するか）を1枚のフローチャートに落とし込んでおくと、混乱のなかでも抜け漏れを防げます。警察・取引先・顧問弁護士・サイバー保険の相談窓口など、連絡先を一覧化しておくと初動が速くなります。

2023年の統計では、ビジネスメール詐欺に代表されるなりすまし詐欺の世界的な損失額は27億ドル超と報告されており、電信送金詐欺全体でも被害は高水準で推移しています。

IC3 2023 Internet Crime Report（FBI）

よくある質問