Chatwork乗っ取り対策｜サイバー保険の補償範囲は？
この記事のポイント
Chatworkなどビジネスチャットの乗っ取りが2025年から急増し、なりすましによる高額な送金被害が報告されています。送金された金銭の回収はほぼ不可能で、サイバー保険でも金額自体は補償されません。不正アクセスの調査費用は補償可能で、2段階認証の強制化と別経路確認が組織的な備えの柱になります
Chatworkなどビジネスチャットツールのアカウント乗っ取り被害が、2025年後半から急増しています。偽の経理グループを作成して振込指示を出すといった手口が運営元からも注意喚起されており、相談件数も増加傾向です。送金額そのものはサイバー保険では補償されにくく、組織的な予防策が前提となります。
本記事は一般的な情報提供を目的としており、特定の保険商品の推奨・勧誘を目的とするものではありません。保険商品の詳細は各保険会社の約款や重要事項説明書をご確認ください。補償内容や保険料は保険会社・プラン・条件により異なります。
Chatworkの乗っ取り被害が増加している
ビジネスチャットツールとして広く使われているChatworkで、アカウント乗っ取り被害の報告が増えています。運営元の株式会社kubellが2026年1月に注意喚起を公表するに至っており、IT企業の社員でも被害に遭うケースが珍しくありません。
サイバー保険の現場でも、実際の保険金請求まで至っていないものの、相談ベースでは「Chatworkが乗っ取られたかもしれない」「アカウントが怪しい挙動を見せている」といった問い合わせが目に見えて増えている状況です。
ビジネスチャットの乗っ取りは、メールアカウントの乗っ取りと比べてどんな特徴があるのでしょうか？
代表的な手口は「請求書格納」フィッシング
実際の乗っ取り手口で多いのは、フィッシングサイト経由でのID窃取です。流れは以下のようになります。
| ステップ | 内容 |
|---|---|
| 1 | 乗っ取り済みアカウントから個人DMが届く |
| 2 | 「請求書を格納してください」と依頼される |
| 3 | リンクをクリックすると偽ログインページに遷移 |
| 4 | Chatworkそっくりの画面でID・パスワードを入力 |
| 5 | 入力情報が攻撃者に渡り、アカウントを乗っ取られる |
偽ログインページの作り込みは年々精巧になっており、URLを注意深く見ない限り判別が困難なレベルに達しています。さらに、乗っ取り済みアカウントは実在する取引先や同僚であるため、リンクの受信者は警戒しにくいのが現実です。
Chatworkのログインページに誘導するフィッシングURLは、一見すると本物と区別がつかない場合があります。「請求書」「至急」「ログイン確認」などの文言が含まれるDMは、リンクをクリックする前に送信元の経路と内容を別チャネルで確認することをお勧めします。
偽アカウントによる「代表者なりすまし」も増加
既存アカウントの乗っ取りだけでなく、新規の偽アカウントを作成して代表者になりすますパターンも増えています。プロフィール写真や会社名を本物のアカウントとそっくりに設定し、いきなりコンタクト申請を送ってきます。
偽アカウントから「会社の代表です。会社にいますか？」と連絡が来た場合、どう判断すればよいのでしょうか？
なりすまし送金被害と回収の困難さ
Chatworkを運営する株式会社kubellは2026年1月、実在する企業の代表者や社員を装い、口座情報の提供や現金の振り込みを要求するなりすまし詐欺が発生しているとして注意喚起を公表しました。偽の経理グループを作成し、社長名義で振込指示を出すといった手口が確認されており、Chatwork上のなりすまし被害が広がっていることがうかがえます。
【重要】Chatwork上でのなりすまし詐欺にご注意ください（株式会社kubell公式、2026年1月）
ただし、こうした金銭被害の回収は極めて困難とされます。
このため、Chatwork乗っ取り対策の基本姿勢は、被害後の回収ではなく被害前の予防に振り切る必要があります。BECなどメール経由の詐欺と同様、「振り込んだら戻らない」前提で組織のルールを設計することが求められます。
サイバー保険・チャット乗っ取り対策の相談は、サイバー保険の専門スタッフへの相談はマネーサロンへから問い合わせ可能です。
サイバー保険の補償範囲
Chatwork乗っ取りに関するサイバー保険の補償は、対象になる費用と対象外の費用が明確に分かれます。
補償対象外: 送金してしまった金額自体
詐欺によって送金してしまった金額は、サイバー保険の補償範囲外になるのが一般的です。これは金融詐欺の領域に該当し、サイバー保険ではなく犯罪保険(Crime Insurance)の範囲となります。
ただし、日本では犯罪保険の加入企業がまだ少なく、扱える代理店も限定的です。米国では一般的な商品ですが、日本では加入者が少ない状況が続いています。
補償対象になり得る費用
一方、アカウントが乗っ取られた事実に対する対応費用については、サイバー保険でカバーできる場合があります。
| 補償対象になり得る費用 | 内容 |
|---|---|
| 不正アクセスの調査費用 | アカウント侵入経路の特定、フォレンジック調査 |
| 再発防止策の費用 | 認証強化、ルール整備、研修実施などのコンサル費用 |
| 通知・お詫び費用 | 取引先や顧客への事故通知、対応費用 |
| 専門コンサルへの相談 | 保険会社提携の専門スタッフによる初動対応支援 |
保険会社の専門コンサルタントと相談しながら、調査と再発防止策を進められる体制は、初動対応の質を大きく左右します。サイバー保険の付帯サービスとしての価値は、保険金そのもの以上にこの「相談できる窓口」にあるとも言えます。
組織的な乗っ取り防止策
Chatwork乗っ取りを防ぐには、技術的対策と運用ルールの両輪が必要です。個人の意識任せでは徹底できないため、組織の仕組みとして強制する設計が求められます。
1. 2段階認証の強制化
最も基本的かつ効果的なのが2段階認証(MFA)の強制化です。ただし「2段階認証を設定してください」と声かけするだけでは、多くの社員が「面倒くさい」と感じて設定しません。
2段階認証を全社員に徹底させるには、どうすればよいのでしょうか？
実務上の選択肢としては以下のような方法があります。
- 管理者設定で組織全体に2段階認証を必須化する
- 社員を集合させて、その場で全員に設定させる
- 入社時の必須セットアップとして組み込む
- 期限を区切って未設定者にはサポート窓口を開放する
2. パスワード使い回しの禁止
Chatworkに限らず、業務で使うサービス全般で同一パスワードを使い回している場合、1つのサービスから漏洩したパスワードが他のサービスのログインにも使われます。
| 推奨される対策 | 内容 |
|---|---|
| パスワードマネージャの導入 | 各サービスごとに異なる強固なパスワードを管理 |
| 定期的なパスワード変更ルール | 半年〜1年に1回の更新 |
| 漏洩確認サービス | 自社のメールアドレスがダークウェブ等に流出していないか定期確認 |
3. 別経路での確認(電話・対面)
チャット内で完結する確認は意味がありません。アカウントが乗っ取られていれば、攻撃者が「これは本物です」と回答するからです。重要な事項については、別経路での確認をルール化します。
- 振込先変更の指示は電話で本人確認
- 高額決裁の依頼は対面または既存の電話番号で確認
- 「急ぎ」「他言無用」を理由にした例外を一切認めない
ブロックチェーン業界では、高額送金前に少額のテスト送金を行う慣習があります。一般企業でも、新規取引先や金額が大きい場合は、別経路での確認と並行してテスト送金を行うことで、なりすましを見抜く確率が上がります。
4. アルバイト・派遣スタッフも含めた運用ルール
近年では、社員だけでなくアルバイトや派遣スタッフがチャットツールを利用する企業が増えています。雇用形態を問わず、同じ運用ルールを適用することが必要です。
関連リスクと併せて検討したい論点
Chatwork乗っ取りは単独で対策するよりも、関連リスクと併せて整理すると効果的です。たとえばビジネスチャットなりすまし振込詐欺、退職者アカウント管理の不備リスク、BEC(ビジネスメール詐欺)の被害額と対策は、いずれもアカウントの乗っ取りや人の判断を狙った攻撃という意味で同じ系統の論点です。
サイバー保険の補償範囲全般についてはサイバー保険の補償と費用、初動対応の重要性はサイバー攻撃のインシデント対応で詳しく解説しています。
この記事のまとめ
- Chatwork乗っ取り被害は2025年後半から急増、運営元のkubellもなりすまし詐欺への注意喚起を公表
- 代表的手口は「請求書格納」を装ったフィッシングサイトでのID窃取、偽アカウントからの代表なりすまし
- 送金額の回収はほぼ不可能で「振り込んだら戻らない」前提が必要
- サイバー保険では送金額自体は補償対象外、犯罪保険の範囲だが日本では普及していない
- 不正アクセスの調査費用・再発防止策費用・専門コンサル相談はサイバー保険でカバーされ得る
- 組織的な防御策は2段階認証の強制化、パスワード使い回し禁止、別経路確認、アルバイトも含めた運用ルールの4本柱
- 個人の意識任せでは徹底できないため、強制的な仕組み化が前提となる
Chatwork乗っ取りとサイバー保険の無料相談はマネーサロンへ
よくある質問
Chatworkの乗っ取り被害は実際に増えているのですか？
Chatwork運営の株式会社kubellが2026年1月に、実在する企業の代表者や社員を装って振り込みを要求するなりすまし詐欺への注意喚起を公表しています。偽の経理グループを作成する手口などが確認されており、相談件数も増加傾向にあります。
Chatwork乗っ取りの手口はどのようなものですか？
代表的なのは、乗っ取られた既存アカウントから個人DMで「請求書を格納してください」と連絡が来てフィッシングサイトに誘導する手口です。Chatworkのログイン画面そっくりのページが用意されており、ログインIDとパスワードを入力させて乗っ取り、別の被害に転用します。URLで判別できないレベルの精巧さです。
Chatwork乗っ取りで送金してしまった場合、サイバー保険で補償されますか？
送金してしまった金額自体は、サイバー保険では補償できないのが一般的です。金融詐欺の領域となり、犯罪保険(日本では普及していない)の範囲になります。ただし不正アクセスがあった事実に対する調査費用や再発防止策の費用はサイバー保険で対応できる場合があります。
2段階認証はなぜ全社員に徹底できないのですか？
「面倒くさい」と感じる社員が多く、声かけや任意設定では浸透しないのが実態です。強制的に2段階認証を有効にしないとログインできない仕組みにする、社員を集めてその場で設定させるなど、時間と労力をかける運用が必要とされています。個人の意識に任せて徹底するのは不可能とされています。
Chatwork以外のチャットツールでも同様のリスクはありますか？
Slack、Microsoft Teams、Discord、LINE WORKSなど、ビジネスで使われるチャットツール全般で同様のリスクがあります。共通の備えとして、2段階認証の徹底、パスワードの使い回し禁止、別経路(電話)での重要事項確認、社内ルールの整備が挙げられます。
関連記事
BEC詐欺の被害額と対策｜サイバー保険の補償は？
ビジネスメール詐欺(BEC)の被害額は1件あたり数百万円から数千万円、株式会社はてなで2026年4月に約11億円の事例も発生しました。送金被害額自体はサイバー保険の補償対象外で、犯罪保険などが必要です。手口の進化と組織的な防止策を専門家が解説します
日本のサイバー保険加入率はなぜ低い？費用と判断軸
日本の中小企業のサイバー保険加入率は8.8%（損保協会2025年調査）にとどまります。海外と比べて低い背景には訴訟リスクや取引条件の差があります。中小企業の保険料は年間数万円から50万円程度で、業務停止時の被害規模・自力対応の可否・外部への影響の3点が加入判断軸となります
サプライチェーン攻撃の責任｜サイバー保険の補償範囲
サプライチェーン攻撃の相談は増加傾向にあり、特に下請け側から元請けの要請でサイバー保険加入を検討するケースが多くなっています。サイバー保険は基本的に自社しか守れず、自社が被害を受けた場合の調査・復旧費用と、自社が踏み台になって取引先に被害を与えた場合の賠償責任に対応します。取引先のセキュリティ確認方法も解説します