「社長から至急のメールが来た。LINEでやり取りしたいから、社長のスマホ番号を共有してくれないか」――もしあなたの会社の経理担当者の元にこんなメールが届いたら、組織としてどう対処できますか？「うちは社員教育もやっているし、訓練メールも配信している」という方も多いと思いますが、 2025年12月から日本全国で急増している「CEO詐欺」 は、従来のフィッシング訓練だけでは止め切れない新しい局面に入っています。

警察庁・IPA・各セキュリティベンダーの注意喚起ページにも続々と情報が掲載されており、首都圏を中心に複数の企業で実害が報告されています。本記事では、いま実際に何が起きているのか、なぜ従来のフィルタリングだけでは防げないのか、そして情シスが社員教育に加えて整備すべき送金フローと通信経路の制御について解説します。

何が起きているのか：CEO詐欺の最新トレンド

複数のセキュリティベンダーが2026年に入って公表したレポートによると、2025年12月頃から日本国内で「CEO詐欺」と呼ばれる手口が急増しています。ある大手セキュリティ企業の検出データでは、1日あたり数千件〜1万件規模の検出が確認された日もあり、国内の数千の法人ドメインに大量送付されたと報告されています。標的は数人規模から数万人規模まで幅広いことが特徴で、業種にも大きな偏りは見られません。

報道ベースでも、2025年12月中旬以降、首都圏を中心に複数の企業で被害が確認され、合計で数億円規模の金銭被害が発生したとされています。注意喚起を公表した企業は短期間で数百件規模に達しており、特定の不審メールに対する企業からの注意喚起件数として極めて異常な水準です。

典型的な攻撃の流れは次の通りです。

  1. 社長やCEOを装ったメールが、経理・財務・総務などの担当者宛に届く
  2. 「業務効率化のため」「機密性の高い案件のため」として、LINEグループの作成や招待用QRコードの返送を要求する
  3. LINE上で攻撃者と直接やり取りが始まり、最終的に第三者名義の口座への送金を指示される

ポイントは、メールでは送金指示そのものを行わず、LINEなど社外コミュニケーション基盤に誘導してから本題に入る点です。これにより、社内のメール監査ログには「LINEグループを作って」というやり取りしか残らず、不正送金の決定打となるメッセージは情シス側から見えない場所で交わされます。

なぜ従来対策では止まらないのか

「メールセキュリティ製品を入れているから大丈夫」と思いたいところですが、現実には次のような穴があります。

  • メール本文に明確な悪意がない：URLもマルウェア添付もなく、「LINEで連絡したい」というだけの文面だと、スパムフィルタやサンドボックス型の解析では検知しづらい
  • 生成AIで自然な日本語が大量生成されている：従来の「不自然な日本語で見破る」という社員教育の前提が崩れている
  • DKIM/SPF/DMARCをすり抜けるケースがある：攻撃者が独自に取得したドメインから送信する場合、送信ドメイン認証は通過してしまう
  • 「コンプライアンスの目が届かない場所」に誘導される：いったんLINEに移行すると、社内の監査・ログ・自動チェックがすべて無効化される

ビジネス用語に置き換えると、これは「メールという土俵では検知が難しい攻撃で、土俵そのものを社外に移されてしまう」という構造です。技術対策だけでは限界があり、業務フローと意思決定プロセスを見直す必要があります。

どんなメリットがあるのか：送金フロー整備で得られるベネフィット

CEO詐欺対策として「送金フローの本人確認多重化」と「LINE等への業務移行を許さないルール」を整備すると、次のような効果が見込めます。

  • 不正送金が業務フロー上で必ず止まる：単一の指示メールだけでは送金実行に至らない仕組みにすれば、攻撃者のシナリオが成立しません
  • 被害が出ても説明責任が果たせる：「ルールを整備し、運用していたが、当該案件で○○の手順違反があった」と説明できることは、レピュテーション面で大きな違いを生みます
  • AIによる手口の高度化に対する耐性が上がる：ディープフェイク音声で「電話確認」を突破する手口も2026年に現実化していますが、フロー全体で多段チェックを設計しておけば、単一の認証要素が突破されても被害には至りません
  • 管理者の心理的負担が減る：「社員教育だけが頼り」という属人的な状況から脱却し、仕組みで止められる安心感が得られます

実運用のハマりどころ：現場でやってわかるTips

CEO詐欺対策で、公式ドキュメントには載っていない実践的なポイントを共有します。

1. 「LINEグループに招待されたら、それ自体を即時インシデント扱い」と明文化する
社員教育で「LINEに誘導されたら断る」と教えても、実際の役職者からだと拒否しづらいのが現実です。社内ルールとして「社長や役員から個人LINEや新規LINEグループへの参加を求められたメールは、内容を問わず情シスへエスカレーション」と明文化してください。判断を個人に委ねない設計が重要です。

2. 送金実行には「口頭または対面の二重確認」を必須化する
送金前に必ず「メールではなく既存の社内電話番号にダイヤルして本人確認」というルールを設けます。注意点として、メール本文に書かれた電話番号は使わないこと。攻撃者が用意した番号にかけてしまっては意味がありません。社員名簿や内線番号一覧から確認するのが正解です。ディープフェイク音声対策として、「合言葉」を経理担当と役員間で共有しておくのも有効です。

3. Exchange Online / Microsoft Defender for Office 365で「なりすまし」検知を強化する
DKIM/SPF/DMARCに加えて、Defender for Office 365の「なりすまし保護」機能で社内役員の名前を保護対象に登録します。これにより、ドメイン認証は通過しても表示名で社長を騙るメールを検知できます。Defender for Office 365のなりすまし対策はMicrosoft Learnの公式ドキュメントで詳細が確認できます。

4. 注意喚起を社内ポータルでローテーション表示
1回の社員教育だけでは記憶が薄れます。CEO詐欺の手口サンプルを社内ポータルや社内チャットのお知らせ欄でローテーション表示し、月次でリフレッシュしてください。実例をスクリーンショットで見せるのが最も効きます。

5. 役員自身に「私からLINE誘導メールは絶対送りません」と社内宣言してもらう
情シスからの注意喚起は伝わりにくくても、役員本人からの「私から個人LINEで業務指示することはない」という宣言は強力です。経営層を巻き込んでおくと、現場社員が「もしかしたら本物かも」と迷う余地がなくなります。

次のアクション：仕組みで止める防御線を引く

CEO詐欺は、技術的に高度な攻撃ではなく、業務フローの隙を突く社会工学的な攻撃です。メールフィルタを強化するだけでは限界があり、「送金プロセスのチェックポイント設計」と「社外コミュニケーション基盤への誘導を許さないルール」という2つの仕組みづくりが防御の本丸になります。

自社の送金フローに「単一のメール指示だけで実行できる経路」がないか、本人確認の手順がメールに書かれた連絡先に依存していないか――こうした点検は、外部の目で見てもらうと盲点が早く見つかります。Microsoft 365のセキュリティ機能の最適化や、社内ルール整備のサポートが必要な場合は、Colorkrewのセキュリティチームまでお気軽にご相談ください。

参考文献