何が問題になるか
場面
取引先を名乗るメールで「振込先の口座が変わった」と連絡があり、その口座に代金を振り込んだところ、後で本物の取引先から未入金の連絡が来た、という場面です。情報処理推進機構は、この手口をビジネスメール詐欺と呼び、「偽の電子メールを組織・企業に送り付け、従業員を騙して攻撃者の用意した口座へ送金させる詐欺の手口」と説明しています。気付いた時点から、時間との勝負になります。
法律の整理
最初に、自社の銀行に「組戻し」を依頼し、振込先の銀行にも連絡します。相手の口座から引き出される前であれば、お金の流れが止まる可能性があります。並行して警察へ通報し、被害届を出します。
組戻しを依頼し、銀行にも連絡
振り込め詐欺救済法により、犯罪に使われた口座の凍結と、残高の分配を受けられる場合があります。同法第3条は、第1項で、金融機関は口座が犯罪に利用された疑いがあると認めるときは「当該預金口座等に係る取引の停止等の措置を適切に講ずるものとする」と定めています。同法第8条は、第1項で、口座の残高を原資として、被害を受けた者に「被害回復分配金を支払わなければならない」と定めています。同法第12条は、第3項で、分配の申請は振込みの依頼をした金融機関を経由して行えると定めています。
本当の取引先との関係では、代金の支払義務は原則として消えません。偽の口座への振込みは、取引先への弁済にならないためです。取引先側のメールが乗っ取られていた場合は、損害の分担を取引先と協議します。
会社が備えること
確認すること
- 振込みの日時、金額、振込先の銀行・口座名義
- 偽のメールの本文と、送信元のアドレス・ヘッダ
- 本物の取引先と、いつ・どのようにやり取りしていたか
- 自社のメールアカウントに不審なログインが無いか
自社のメールが乗っ取られていた疑いがあるときは、不正アクセスを受けたことが分かりました。最初の数時間で何をすべきですかもあわせてご覧ください。
対応
被害の後は、同じ手口を繰り返し受けないための社内ルールを整えます。
- 振込先の変更の連絡は、メールだけで受け付けず、登録済みの電話番号など別の経路で取引先に確認する
- 受信したメールの送信元ドメインやヘッダが、いつもの取引先と同じかを確認する
- メールアカウントに多要素認証を設定する
情報処理推進機構も、手口を社員に知らせたうえで、「多層防御」の考えに基づく対策を実施するよう求めています。
メールだけで受け付けず、別の経路で確認
ご相談で伺うこと
ご相談では、次のことを伺います。
- 振込みの日時・金額と、組戻しや警察への連絡の状況
- 偽のメールが届いた経緯と、取引先とのやり取りの記録
- 取引先との契約で、支払方法や振込先の変更をどう定めているか
- 取引先側でメールの乗っ取りがあったかどうか