取引先から「振込先口座を変更した」とメールが届いたら、請求書が本物に見えても、そのメールへの返信だけで口座変更を承認しないでください。IPAが注意喚起するビジネスメール詐欺（BEC）の典型例です。送金を保留し、以前から把握している独立した連絡経路で確認します。
変更依頼の送信元と内容を確認
銀行名・支店名・名義・口座番号、変更を求める時期、変更理由、急いで支払わせようとする表現を確認します。送信元表示名がいつもと同じでも、メールアドレスの細部や返信先が異なる場合があります。ただし本物のメールアカウントが侵害される可能性もあるため、アドレス一致をもって安全とは判定できません。添付の口座証明画像も単独では根拠になりません。
既存の連絡経路で相手に照会する
変更メールに記載された電話番号やURLではなく、以前から登録していた代表電話・契約書記載の窓口・取引先の正規ポータルなどを使用します。普段の相手に「先ほどの銀行口座変更は御社からの正式依頼か」と問い合わせ、組織の承認経路を確認してください。メール返信だけで確認を済ませると、犯人が乗っ取ったメールスレッドのままやり取りしてしまうおそれがあります。
確認完了まで振込先変更を保留
確認が終わるまでは、支払台帳の登録口座を更新せず、送金作業を止めます。支払期日が迫っている場合も、取引先と安全な連絡手段で調整します。すでに送金した疑いがある場合は、直ちに送金元金融機関へ連絡し、所管部門や警察への相談を検討します。対応の速さが重要なので「後日確認すればよい」と先送りしないでください。
社内で変更履歴と承認者を残す
社内の口座変更申請書に「受信日時」「新旧口座」「外部の確認先」「確認した日時」「確認結果」「承認者2名」「適用開始日」を記録します。確認前のメールや請求PDFは証跡として保存し、疑わしい添付ファイルは無闇に開かない運用にします。新しい口座へ送金する前に、登録者とは別の承認者が照合する二重チェックを設けます。
参考資料
