【事例】顧問税理士なりすましBEC攻撃：見抜くべき請求書と振込先変更の兆候
顧問税理士なりすましBEC攻撃の危険性
中小企業にとって、顧問税理士は日々の経理処理や税務申告において非常に重要な存在です。信頼関係に基づき、お金に関わるやり取りも頻繁に行われます。しかし、この信頼関係や、税理士とのやり取りで発生する「請求書」や「振込」といった行為は、BEC攻撃の格好のターゲットとなり得ます。
特に、「顧問税理士がいつも使っているメールアドレスからだから大丈夫だろう」「専門家からの指示だから間違いないだろう」といった油断は禁物です。本日は、顧問税理士になりすましたBEC攻撃の事例を通じて、どのような手口が使われ、どのような点に注意すれば攻撃を見抜けるのか、そしてコストをかけずにできる対策について解説します。
事例概要：顧問税理士からの不審なメール
ある日、中小企業の経理担当者のもとに、普段からやり取りをしている顧問税理士の名前でメールが届きました。メールの内容は、「至急処理してほしい経費精算がある」「顧問料の振込先口座が変更になったので、今月分から新しい口座に振り込んでほしい」といったものでした。
添付ファイルには、経費精算の明細書や、新しい振込先口座情報が記載された書類が含まれていました。メールの文面も普段の税理士の口調に近く、一見すると全く問題ないように見えました。経理担当者は普段の業務の一環として、添付ファイルを開き、指示された振込を実行しようとしました。
しかし、そのメールは実際には顧問税理士本人から送られたものではなく、第三者である攻撃者によって送信された偽装メールだったのです。もし、この指示通りに送金していれば、そのお金は攻撃者の手に渡ってしまっていました。
騙しの手口：巧妙な偽装と緊急性の演出
この事例で攻撃者が用いた主な手口は以下の通りです。
- メールアドレスの偽装（なりすまし）:
- 顧問税理士の実際のメールアドレスに酷似したアドレス（例：@以降のドメイン名のスペルを微妙に変える、ハイフンとアンダーバーを間違えるなど）を使用してメールを送信しました。
- あるいは、実際のメールアドレスを「差出人名」として表示させつつ、実際の送信元アドレスは全く別の怪しいアドレスにする手法も使われます。
- メール内容の工夫:
- 過去の税理士とのやり取りを何らかの方法で入手・推測し、普段使用している言葉遣いや文面を真似ていました。
- 「経費精算」「顧問料」「振込」といった、税理士とのやり取りで日常的に発生する業務内容を装いました。
- 「至急」「今月分から」といった言葉で緊急性を演出し、確認を怠らせようとしました。
- 電話での確認を避けるため、「現在外出中のため電話に出られません」「このメールで全て完結させてください」といった指示が含まれることもあります。
- 偽の請求書や振込先情報の添付:
- 本物そっくりに作られた偽の請求書ファイルや、振込先情報が記載されたファイルを添付しました。これらのファイルには、攻撃者が指定する口座情報が記載されています。ファイル形式を普段税理士が使用しているもの（PDFなど）に合わせることもあります。
攻撃の兆候：ここが怪しい！見抜くべき点
このような巧妙なBEC攻撃メールにも、注意深く確認すれば見抜ける「兆候」がいくつか存在します。この事例で見抜くべき兆候は以下の通りです。
- メールアドレスの微細な違い: 最も重要な兆候の一つです。「差出人名」だけでなく、メールアドレス全体、特に@以降のドメイン名に普段使用しているメールアドレスとの違いがないか、一文字ずつ丁寧に確認します。見た目がそっくりでも、よく見るとスペルミスがあることがあります。
- 普段と異なる送金先や手続き: これまで税理士への支払いはいつも同じ口座だったのに、突然別の口座への振込を指示された場合、これは非常に怪しい兆候です。また、普段は電話で済ませるような確認や指示が、一方的にメールで行われている場合も要注意です。
- 添付ファイルの不自然さ: 添付された請求書や振込先情報のファイルの形式や内容に違和感がないか確認します。普段と違うデザイン、企業のロゴの不自然さ、記載されている情報（会社名、住所など）の間違いがないか見ます。振込先が普段利用しないような銀行や、海外の銀行口座になっている場合は、特に警戒が必要です。
- 普段と違う時間帯や曜日に届いたメール: 税理士からのメールが、営業時間外や週末など、普段はメールが来ないような時間帯に届いた場合も不審に思うべきです。
- 不自然な日本語や言い回し: 巧妙な攻撃メールでも、時折、普段の担当者や税理士の口調と違う不自然な言い回しや、細かい日本語の誤りが見られることがあります。
- 「急ぎ」「秘密」といった不審な強調: 必要以上に緊急性や秘密性を強調し、確認のための行動を抑制しようとする指示が含まれている場合、攻撃である可能性が高まります。
事例から学ぶ教訓と対策のヒント
この顧問税理士なりすましBEC攻撃事例から、中小企業経営者やその従業員が学び、実践すべき教訓と対策のヒントは以下の通りです。コストをかけずにすぐに始められる基本的な対策に焦点を当てます。
- 教訓1：メールアドレスは必ず全体を確認する
- 対策: 普段からやり取りしている相手からのメールでも、「差出人名」だけを信用せず、必ずメールアドレス全体をよく見て、普段使っているアドレスと一文字でも違わないか確認する習慣をつけましょう。従業員全員にこの確認方法を周知徹底してください。
- 教訓2：お金の動きに関わる指示は別の手段で確認する
- 対策: 請求書や振込先情報の変更といった、お金の動きに直結する指示をメールで受け取った場合は、メールの返信だけで済ませず、必ず電話など別の連絡手段を使って、普段から使っている本物の税理士の連絡先に直接確認の電話を入れましょう。「メールで送金指示があったのですが、間違いありませんか？」と具体的に確認することが重要です。この「二重確認」のルールを社内で徹底してください。
- 教訓3：不審な点があれば必ず立ち止まる
- 対策: メールアドレスが少し違う、振込先が普段と違う、請求書の形式が変、指示がいつもより急かされているなど、少しでも「いつもと違う」「おかしいな」と感じる点があれば、絶対に指示に従ってはいけません。立ち止まり、税理士本人に直接確認する行動をとることが、被害を防ぐ上で最も重要です。
- 教訓4：従業員全員で危険性を認識し、ルールを共有する
- 対策: BEC攻撃のような「なりすまし詐欺」の手口が存在すること、そして税理士や取引先からのメールでも油断できないことを、経営者だけでなく従業員全員が認識することが重要です。今回ご紹介したような具体的な事例や、メールアドレスの確認方法、振込指示の二重確認ルールなどを共有し、組織全体でセキュリティ意識を高めましょう。
まとめ
顧問税理士なりすましBEC攻撃は、日々の業務で発生する請求書や振込といった行為を悪用し、信頼関係につけ込む非常に危険な手口です。しかし、メールアドレスや振込先の微細な違い、指示の不自然さなど、見抜くための「兆候」は必ず存在します。
重要なのは、普段からメールをよく確認する習慣をつけ、特に振込に関わる指示については、メールだけでなく電話などで別の手段を使って必ず本人に確認するというルールを徹底することです。そして何より、従業員全体でBEC攻撃の危険性を理解し、少しでも怪しいと感じたら立ち止まって確認するという意識を持つことが、中小企業を守るための最も有効な対策となります。日頃から従業員への注意喚起を行い、これらの基本的な対策を組織全体で実践していくことが求められます。