AI生成フィッシングが過去最悪水準｜中小企業の送金・認証防御の実装

「社員教育で見抜けるはず」という前提だけでは足りない。 生成AIが書く詐欺メールは、日本語の不自然さや差出人名の違和感が薄い。取引先らしい文体で、振込先口座の変更を自然に依頼する攻撃も想定される。人の目で偽物を見分けるという防御線は、最後の砦として過信できない。

警察庁によると、2024年のフィッシング報告件数は約172万件、クレジットカード不正利用被害額は約555億円で過去最多を記録した。2025年はさらに件数・金額とも過去最悪を更新し、月次でも10月に約19万件が最高となった。この記事では、中堅・中小企業（年商30〜300億円／従業員100〜1000名）が「気づき」に頼らず、送金プロセスとメール認証、そして訓練KPIという仕組みで被害を止める方法を整理する。

なぜ「社員が見抜く」防御が限界なのか

従来のフィッシング対策は、不自然な日本語、見慣れないドメイン、急かす文面といった「違和感」を社員に気づかせることが中心だった。しかし2026年は、専門家がAIによる巧妙化の加速を警告している。最新世代のLLMが生成する詐欺メールは文面が自然で、ディープフェイクによる音声・映像の偽装まで組み合わされる懸念が指摘されている。

つまり、「おかしいと感じたら報告する」という人間の判断に依存した防御は、入口としては残しつつも、それ単体を頼みの綱にはできない。重要なのは、たとえ社員が騙されても被害（＝不正送金や認証情報の窃取）が成立しない業務フローを設計することである。

従来の前提	2026年の現実
詐欺メールは日本語が不自然	LLMが自然な日本語を生成する
差出人や文面で見分けられる	取引先・経営者になりすまし、文面も精巧
電話で本人確認すれば安心	ディープフェイク音声・映像の偽装が懸念される
教育を受ければクリックは減る	教育だけでは「最後の一通」を防ぎきれない

BECは「人」ではなく「フロー」で止める

ビジネスメール詐欺（BEC）は、攻撃者が取引先や自社の経営者になりすまし、振込先口座の変更を指示して送金させる手口である。金額が大きく、いったん送金すると回収が難しい。AIによる文面・音声の偽装が加わると、なりすましの精度はさらに上がる。

ここで効くのは、本人確認を「メールや電話の中だけ」で完結させないことだ。口座変更や高額送金には、メールとは別の経路（あらかじめ登録した電話番号への架電など）での確認を必須にする。攻撃者がメールを乗っ取っていても、別経路の確認を突破できなければ送金は成立しない。

送金プロセスの二重確認を制度化する

「気をつける」では運用に残らない。次の3点をルールとして明文化し、例外を作らないことが肝心である。

• 口座変更・高額送金は、メール以外の別経路で発注元に確認する（コールバックは登録済み番号へ）
• 一定金額以上は、起案者とは別の承認者による二重承認を必須にする
• 「至急」「内密に」という依頼ほど、手順を省かず逆に確認を厚くする

中小企業が今すぐ着手できる3つの防御層

1. 送金プロセスの二重確認

最優先は送金フローの見直しである。なりすましメールが届くことは止められなくても、振込が成立しなければ金銭被害は出ない。金額のしきい値、別経路コールバック、二重承認を経理規程に組み込む。

2. DMARC等のメール認証

なりすましメールの「入口」を技術で減らす。SPF・DKIM・DMARCを設定し、自社ドメインを騙るメールを受信側で弾けるようにする。DMARCはまず監視モード（p=none）で配信状況を可視化し、誤検知がないことを確認してから隔離・拒否（quarantine／reject）へ段階的に強化するのが安全だ。取引先からの自社宛メールについても、認証に失敗したものを警告・隔離する設定を検討する。

3. 訓練KPIで「行動」を測る

教育は受講で終わらせず、行動の変化を数値で追う。AI生成を想定した自然な文面で標的型メール訓練を行い、クリック率だけでなく報告率を重視する。「騙されない」より「気づいて即報告できる」状態を作るほうが、被害の連鎖を止めやすい。

対策一覧表：3つの防御層と訓練KPI

防御層	具体策	担当	主な指標（訓練KPI）
送金プロセスの二重確認	口座変更・高額送金の別経路コールバック、金額しきい値、二重承認	経理・財務、経営	別経路確認の実施率、しきい値超過時の二重承認率
メール認証（DMARC等）	SPF／DKIM／DMARC設定、p=none→quarantine→rejectへ段階強化	情シス	なりすまし遮断件数、DMARC準拠率、誤検知率
標的型メール訓練	AI生成想定の自然な文面で定期訓練、報告窓口の周知	情シス・人事	クリック率、報告率、報告までの平均時間
なりすまし検知の周知	取引先の口座変更依頼は要再確認、経営者の急ぎ送金指示は手順厳守	全社	ルール同意率、疑わしいメールの報告件数
インシデント初動	送金前の停止フロー、銀行・警察への連絡手順	経理・情シス	検知から送金停止までの時間

KPIは「研修を受けたか」ではなく「危険行動が減ったか」「気づいて報告できたか」を測る設計にする。経営会議やサイバー保険、ISMSの説明資料としても使いやすい。

運用を続けるための体制

防御層を一度作っても、人事異動や取引先の追加で運用は形骸化しやすい。次のサイクルで定着させる。

頻度	実施内容
導入時	送金規程の改定、DMARC設定、報告窓口の整備
四半期	標的型メール訓練、クリック率・報告率のレビュー
半期	DMARCポリシーの段階強化、誤検知の確認
年1回	経理・承認フローの棚卸し、取引先口座情報の確認
随時	新たな詐欺手口・社内ヒヤリハットの注意喚起

技術（メール認証）、業務（送金フロー）、人（訓練）の3つを並走させることが、過去最悪を更新し続ける脅威に対する現実的な構えである。

よくある質問

Q. 中小企業でも何から手をつけるべきか。 A. まず送金プロセスの二重確認である。口座変更や高額送金にメール以外の別経路確認と二重承認を義務化するだけで、BECの金銭被害は大きく抑えられる。次にDMARC設定、標的型メール訓練と進めるのが効率的だ。

Q. DMARCをいきなり拒否（reject）に設定してよいか。 A. 推奨しない。正規メールまで弾く誤検知のリスクがあるため、まずp=none（監視）で配信状況を可視化し、自社の正規送信元を整理したうえでquarantine、rejectへ段階的に強化する。

Q. AI生成メールは本当に見抜けないのか。 A. 不自然さに頼った見分けは難しくなっている。だからこそ「見抜く」ことに依存せず、騙されても送金や認証が成立しない仕組み（二重確認・メール認証・報告フロー）で守る発想に切り替える必要がある。

関連記事

• ディープフェイク・BEC対策｜AIサイバー攻撃への備え — なりすまし音声・映像を使った攻撃の手口と防御を解説
• 社員セキュリティ教育と企業リスク — フィッシングや権限管理を行動に落とし込む教育設計
• 年次サイバーセキュリティ訓練2026｜机上演習・レッドチーム実践ガイド — 訓練を仕組み化し実効性を高める進め方

送金フローとメール認証を、被害が成立しない仕組みに変えませんか

GXOでは、現状整理から送金プロセスの二重確認設計、DMARC等メール認証の導入、標的型メール訓練とKPI運用まで、現状整理→要件定義→RFP→ベンダー比較→PoC→本番移行を一気通貫でご支援します。

フィッシング・BEC対策を相談する

※ メール認証の設定だけでなく、経理規程の二重確認ルール整備や訓練運用まで相談できます。