攻撃が行われる一般的な流れ

1．Microsoft 365アカウントが乗っ取られる
攻撃者は、過去のフィッシングなどで盗んだID・パスワードを使い、企業や取引先のMicrosoft 365アカウントへ不正にサインインします。
多要素認証を突破するため、偽サイトを介して認証情報やセッション情報を盗む高度な手口もあります。

2．不正なファイルがOneDriveやSharePointに置かれる
乗っ取ったアカウントのOneDriveやSharePointに、攻撃用のファイルが保存されます。
ファイル自体には、次のような表示やリンクが含まれる場合があります。

• 文書を表示する
• ファイルをダウンロードする
• 内容を確認する
• Microsoft 365でサインインする
• セキュリティ確認を行う
• メッセージを読む

ファイル名も、業務上ありそうなものに偽装されます。

• 請求書
• 見積書
• 契約書
• 注文書
• 支払明細
• 会議資料
• ボイスメッセージ
• 人事関連書類

3．正規の共有機能から通知が送られる
攻撃者がファイルを共有すると、Microsoftの共有機能から通知メールが送られます。 そのため、通知メールの送信経路やリンクの一部が、本物のMicrosoftサービスである場合があります。
また、乗っ取られたアカウントが取引先のものであれば、共有者として知っている担当者名が表示されることもあります。

4．共有ファイルから外部サイトへ誘導される
利用者が共有されたファイルを開くと、ファイル内に「文書を表示」「ダウンロード」などのボタンが表示されます。
そのボタンを押すと、Microsoft 365のサインイン画面に似せた偽サイトへ転送されます。
最初のOneDrive・SharePointのリンクが正規のものであっても、ファイル内のリンク先まで安全とは限りません。

5．ID・パスワードや認証情報が盗まれる
偽サイトへ次の情報を入力すると、攻撃者に送信される可能性があります。

• メールアドレス
• Microsoft 365のパスワード
• SMSなどで届いた認証コード
• 認証アプリに表示された番号
• その他の個人情報

盗まれたアカウントは、社内メールの閲覧、機密情報の取得、取引先への攻撃などに悪用されます。
メールが本物でも危険な場合がある
一般的なフィッシング対策では、送信元アドレスやリンク先ドメインを確認するよう案内されます。 もちろん、これらの確認は重要です。
ただし、OneDrive・SharePointの共有機能が悪用された場合、次のようなことが起こります。

• Microsoftの正規システムから通知される
• 最初のリンク先がMicrosoftの正規ドメインになっている
• 実在する取引先のアカウントから共有される
• 知っている担当者の名前が表示される
• 通常の共有通知と同じデザインで届く

「そのため、「送信元がMicrosoftだから大丈夫」「リンク先にMicrosoftと書かれているから大丈夫」という確認だけでは不十分です。
重要なのは、通知が本物かどうかだけでなく、そのファイルが共有される理由に心当たりがあるかを確認することです。
こんな共有通知は要注意
知らない相手からファイルが共有された
まったく心当たりのない相手から共有されたファイルは、開かないでください。 同姓同名や取引先に似た表示名が使われる可能性もあるため、表示名だけで判断しないことが重要です。

ファイル名が曖昧である
次のように、誰にでも当てはまりそうな名前は注意が必要です。

• Shared Document
• Secure File
• Important Document
• Payment
• Invoice
• Confidential
• Document for Review
• Scanned File

ファイル内で再度サインインを要求される
OneDriveへサインインした後、ファイル内のボタンから再びMicrosoft 365のID・パスワード入力を求められた場合は注意が必要です。
ブラウザーのアドレス欄を確認し、Microsoftと無関係なドメインへ移動していないか確認してください。 認証コードや承認操作を急かされる
「本人確認のため認証コードを入力してください」
「認証アプリに届いた要求を承認してください」
このような表示が出ても、自分で開始したサインインでなければ承認しないでください。 至急確認するよう求めてくる
次のような表現は、利用者を焦らせて確認を省略させる目的で使われます。

• 本日中に確認してください
• 有効期限が切れます
• 支払いが保留されています
• アクセスが停止されます
• 機密文書のため至急確認してください
• 共有期限が間もなく終了します

開く前に確認したい6つのポイント

1．共有される予定があったか
最初に、「この人から、このファイルが届く予定だったか」を考えます。 予定のない共有は、知っている人から届いても確認が必要です。

2．共有者のアドレスを確認する
表示名だけでなく、実際のメールアドレスを確認します。 ただし、正しいアドレスから届いていても、アカウントが乗っ取られている可能性は残ります。

3．共有者本人へ別の方法で確認する
メールへの返信だけでなく、以前から把握している電話番号、Teams、社内チャットなど、別の連絡手段で確認します。
確認するときは、次のように具体的に聞きましょう。
「○○という名前のファイルを、OneDriveから共有されましたか？」

4．メール内のリンクからサインインしない
不審な場合はメール内のリンクを押さず、普段利用しているMicrosoft 365のポータルやOneDriveを直接開きます。
お気に入りに登録した公式ページからアクセスする方法も有効です。

5．リンク先のアドレスを確認する
サインインを求められた場合は、ブラウザーのアドレス欄を確認します。
ページの見た目やMicrosoftのロゴだけでは判断できません。偽サイトでも、本物に近い画面を表示できます。

6．パスワード以外も入力しない
認証コードや認証アプリの承認要求も、アカウントを奪うために利用される可能性があります。
自分が開始していない認証要求は拒否してください。

本物の共有通知か確かめる安全な方法
不審な共有通知が届いたときは、次の手順で確認します。

• 1. メール内のリンクを押さない
• 2. 普段使用しているブラウザーを開く
• 3. Microsoft 365またはOneDriveの公式画面を直接開く
• 4. 「共有」または「自分と共有」から対象ファイルを確認する
• 5. 共有者とファイル名を確認する
• 6. 心当たりがなければ開かず、共有者本人へ連絡する
  ただし、公式OneDrive上にファイルが表示されていても、ファイルの内容が安全とは限りません。
• 7. 心当たりのないファイルや、ファイル内から外部サイトへ誘導するものは開かないでください。

会社として実施したい対策
多要素認証を有効にする
Microsoft 365アカウントには多要素認証を設定します。
パスワードだけが盗まれた場合の不正サインインを防ぎやすくなります。
ただし、自分が開始していない認証要求を利用者が承認してしまうと突破される可能性があります。認証要求を無条件で承認しないよう、社内教育も必要です。
外部共有の範囲を見直す
SharePoint・OneDriveで、誰でも匿名で利用できる共有リンクを自由に作成できる状態になっていないか確認します。
業務上必要な範囲に合わせて、次の設定を検討します。

• 外部共有を許可するユーザー
• 共有可能な相手
• 匿名リンクの使用可否
• 共有リンクの有効期限
• 編集・ダウンロード権限
• 特定ドメインだけへの共有制限

• 外部への自動転送
• 見覚えのない受信トレイルール
• 削除済みメール
• 送信済みメール
• 身に覚えのない共有履歴

• 不審なサインイン履歴
• サインイン中のセッション
• 多要素認証の登録情報
• 外部への自動転送
• 受信トレイルール
• 送信済みメール
• OneDrive・SharePointの共有履歴

振り込む前に確認したい7つのポイント

1．送信元アドレスを最後まで確認する
表示名だけで判断せず、実際のメールアドレスとドメインを確認します。
ただし、正規のアカウントそのものが不正利用される可能性もあるため、アドレスが正しいことだけで安全とは判断できません。

2．過去の請求書と口座情報を比較する
銀行名、支店名、口座番号、口座名義を過去の請求書と比較します。
一項目でも変更されていた場合は、自動的に確認手続きへ回すルールが有効です。

3．メール以外の方法で担当者本人に確認する
以前から登録している電話番号へ連絡し、次の点を確認します。

• 本当に振込先を変更したのか
• 変更後の銀行名・支店名・口座番号
• いつから変更になるのか
• 今回の請求書も変更対象なのか

4．口座名義の違いを見逃さない
取引先の会社名と振込先の名義が異なる場合は、必ず理由を確認します。
特に、個人名義や別会社名義の口座へ突然変更された場合は、そのまま振り込んではいけません。

5．一人だけで判断しない
振込先の新規登録や変更は、担当者一人で完了させず、上司や経理責任者による確認を入れます。 少額であっても、口座変更時は承認を必須にすることが重要です。

6．添付ファイルの内容だけを信用しない
PDF形式の請求書であっても、本物とは限りません。
請求書のレイアウトがいつもと同じでも、振込先だけが書き換えられている可能性があります。

7．違和感を記録して社内共有する
不審なメールを受信したら、削除するだけでなく、経理担当者や経営者、IT管理者へ共有しましょう。 別の社員にも同様のメールが送られている可能性があります。

会社として決めておきたい防止ルール

技術的な対策だけで、ビジネスメール詐欺を完全に防ぐことは困難です。
次のような業務ルールを組み合わせることが重要です。

振込先変更時の確認ルール

• メールだけでは変更を受け付けない
• 登録済みの電話番号で本人確認する
• 口座変更は二人以上で確認する
• 確認した日時・相手・内容を記録する
• 一定額以上の振込は責任者が承認する

メールアカウントの安全対策

• 長く複雑なパスワードを使用する
• 他のサービスとパスワードを使い回さない
• 多要素認証を有効にする
• 不審なログイン履歴がないか確認する
• 不要な自動転送設定がないか確認する
• 退職者や未使用アカウントを放置しない

なりすましメールへの対策

自社ドメインから送られたように見せかけるメールへの対策として、SPF・DKIM・DMARCなどの送信ドメイン認証があります。
警察庁も、事業者に対して送信ドメイン認証技術の導入を案内しています。

ただし、これらを設定すればすべてのビジネスメール詐欺を防げるわけではありません。メールアカウント自体が乗っ取られた場合や、よく似た別ドメインが使用された場合に備え、振込時の確認ルールも必要です。

誤って振り込んでしまった場合の初動対応

偽の口座へ振り込んだ可能性がある場合は、社内調査を終えてから動くのではなく、直ちに対応してください。

1．振込元の金融機関へ連絡する
振込を行った金融機関へ事情を説明し、組戻しや送金停止が可能か確認します。 時間が経過するほど資金が移動され、回収が困難になる可能性があります。

2．警察へ相談する
メール、請求書、振込記録などを削除せず、警察へ相談します。

3．本物の取引先へ連絡する
登録済みの電話番号などを使い、取引先へ状況を確認します。
取引先側のメールアカウントが侵害されている可能性もあるため、双方で調査する必要があります。

4．メールアカウントを確認する

• 不審なログイン履歴
• 見覚えのない転送設定
• 受信トレイの振り分けルール
• 送信済みメール
• 削除済みメール
• パスワード変更履歴
• 多要素認証の登録状況

5．証拠を保存する
該当メールを削除せず、可能であればメールヘッダーを含む状態で保存します。
添付ファイル、送金記録、社内外のやり取り、発覚までの時系列も整理しておきましょう。

「怪しいメールを見抜く」だけでは不十分です

ビジネスメール詐欺の怖いところは、メールが明らかに怪しいとは限らないことです。 実際の担当者名や取引内容が使われ、いつものメールの続きとして送られれば、経験のある経理担当者でも見抜けない可能性があります。
そのため、社員個人の注意力だけに頼ってはいけません。
重要なのは、偽メールを見抜けなかった場合でも、振込前の確認で被害を止められる仕組みを作ることです。

• 振込先変更は電話確認
• 口座登録・変更は二人で承認
• メールには多要素認証
• 不審なメールはすぐ社内共有
• 困ったときに相談できる担当者を決める

まとめ

「振込先が変わりました」というメールは、本物の取引先から届くこともあります。
しかし、請求書や振込先変更を悪用したビジネスメール詐欺が実際に確認されている以上、メールだけで変更を処理するのは危険です。
特に注意したいのは、次のような連絡です。

• 急な振込先変更
• 差し替え請求書の送付
• 支払いの前倒し
• 個人名義や別会社名義の口座
• メール以外で確認させない内容
• 「至急」「秘密」など、判断を急がせる指示

少しでも変更や違和感があれば、登録済みの電話番号を使い、取引先本人へ確認してください。 ビジネスメール詐欺対策では、「怪しいメールを見抜くこと」以上に、「メールが本物に見えても、確認なしでは振り込めない仕組み」を作ることが大切です。

怪しいメールを操作してしまった方へ

パスワード期限切れ・不審ログイン通知に注意

社長になりすましてLINEへ誘導する詐欺

ITやメールの安全対策を相談できる相手はいますか？

「多要素認証を設定したいが方法が分からない」
「迷惑メール対策が十分か確認したい」
「振込先変更や不審メールへの社内ルールを整えたい」
「IT担当者がおらず、トラブルのたびに対応が止まってしまう」
アルファパートナーズ株式会社では、中小企業のIT相談役として、メール、Microsoft 365、セキュリティ、バックアップ、Webサイト、ベンダー対応など、日常的なIT運用を幅広く支援しています。
発注内容が決まっていない段階でも、「何から確認すればよいか」というご相談から対応可能です。