社長なりすましメールが急増中——中小企業の対策

「業務プロジェクトのためLINEグループを作って」——そんな何気ない一言から始まる、社長や上司を装った「なりすましメール詐欺」が全国で急増しています。巧妙なのは、文面に「至急」や「送金」といった警戒を招く言葉が初期段階ではほとんど使われない点です。これは技術的な隙ではなく、組織の規律や「上司の指示には即座に従うべき」という心理的バイアスを突いた、典型的なソーシャルエンジニアリングの手口。結果として、経験豊富な経理担当者であっても、疑念を抱かぬまま被害に遭ってしまうケースが後を絶ちません。

「今、会社にいますか」——2026年、公的な警鐘を読み解く

2026年に入り、警視庁（1月）や警察庁（2月）などの公的機関が相次いで注意喚起を行っています。事態は非常に緊迫しており、従来のような「怪しい日本語」のメールとは一線を画す巧妙な手口が確立されています。両機関の情報を統合すると、その手口の「合理性」が見えてきます。

具体的には、まず実在の経営者になりすました差出人から、業務連絡を装ったメールが届きます。そこから LINE や SNS のグループへと誘導され、経理担当者を含めたクローズドな空間（密室）が形成されます。グループ内では、経営者（なりすまし）の指示のもとで法人の口座残高を報告させ、十分な信用を築いた後に「事業資金が至急必要だ」と送金を要求するのです。最初は挨拶のような何気ない接触から始まり、時間をかけて「信頼の土壌」を作ってから牙を剥く。この「心理的脆弱性」を突く時間差攻撃こそが、現代のなりすましメールの真の恐ろしさです。

なぜ中小企業が狙われやすいのか

IPA（情報処理推進機構）が公表する「情報セキュリティ10大脅威 2026」においても、ビジネスメール詐欺（BEC）は組織編の上位（2位）にランクインしており、長年選出され続けている根の深い脅威です。一過性の流行ではなく、攻撃側が常に手法をアップデートし続けていることが伺えます。

この手口があえて経理担当者を巻き込んだグループを作らせる設計になっているのは、経営者の指示に複数人でのチェックが入りにくい組織ほど、送金までたどり着きやすいからです。情シス担当者がいない中小企業では、承認フローが明文化されておらず、「社長からの連絡なら即応するのが当然」という空気が醸成されがちです。この「規律の良さ」が、皮肉にも詐欺を成立させる「心理的脆弱性」として悪用されています。加えて、業務連絡を個人のLINEで行うことが常態化している「シャドーIT」の蔓延も、偽の指示を日常に紛れ込ませる原因となっています。

今日からできる基本の対策

専門的なセキュリティ投資の前に、まずは「ルール」という名の防壁を築くことが先決です。

• 送金前に複数人で確認する：金額にかかわらず、一人の判断だけで送金を完結させないガバナンスを徹底します。
• メール・LINE以外の経路で本人確認する：電話をかけ直す、あるいは直接対面するなど、攻撃者が制御できない「別ルート」での確認をルール化します。
• シャドーITの利用を制限する：個人のLINEグループへの安易な参加や、重要事項のやり取りを控えるよう全社で徹底します。
• 口座情報の開示範囲を限定する：社内であっても、非公式なチャット空間で口座残高を安易に開示しない慎重さが求められます。

「会社が管理するやり取りの場」を持つという構造的防衛

個人のLINEやSNSが詐欺の温床になりやすいのは、その空間の主権が会社になく、誰が本当に社内の人間なのかをシステム的に保証できないためです。この脆弱性を根本から解消するには、業務連絡という「社内アセット」を、会社がガバナンスを行使できる自律管理下のプラットフォームへ集約する必要があります。

オールインワン小型サーバー「Orcinus」では、自由ソフトウェアとしての高い信頼性を誇るビジネスチャット「Mattermost」を自社環境内で稼働させることができます。アカウントは会社が発行したアカウントだけで構成されるため、社外の不純物が紛れ込む余地を物理的に排除します。また、やり取りが期間制限なくアーカイブされ検索可能であることは、不正な指示に対する強力な抑止力となります。外部SaaSに頼らず、社内の管理下に連絡手段を一本化すること。それは遠回りに見えて、企業のアイデンティティを守る最も知的な戦略なのです。

参考：ビジネスチャットを入れたのに社員が個人LINEをやめない——「定着しない」中小企業に多い3つの理由