最終更新日：2026年6月30日
sg sg-security-measures security_training threat_vulnerability mail-security
まず結論
BEC（Business Email Compromise、ビジネスメール詐欺）は、取引先や経営者などを装ったメールで、偽の振込先への送金や支払を行わせる詐欺です。
SG試験では、単に「偽メール」や「なりすましメール」と覚えるのではなく、業務上の信頼関係を悪用し、金銭の振込・支払変更につなげる攻撃として判断することが大切です。
選択肢では、次の表現が出たらBECを疑います。
- 請求書や支払口座の変更をメールで依頼する
- 経営層や取引先になりすまして送金を急がせる
- 継続中の取引メールに紛れ込む
- 外部専門家などの権威を使って判断を急がせる
- 最終的に金銭の支払・送金へつなげる
直感的な説明
BECは、技術でシステムを直接壊すというより、仕事の流れそのものをだます攻撃です。
たとえば、経理担当者に次のようなメールが届いたとします。
取引先への支払口座が変更になりました。至急、こちらの口座へ振り込んでください。
または、社長を名乗る相手から次のようなメールが届く場合もあります。
極秘の買収案件で急ぎの送金が必要です。今日中に処理してください。
文面が自然で、実在の取引や役職に見えるため、担当者は「本当の業務連絡かもしれない」と思ってしまいます。
SG試験では、ここでメールの見た目だけで信用せず、振込先変更や送金指示は別経路で確認するという判断が重要になります。
定義・仕組み
BECは、企業や組織のメール、取引関係、承認手続を悪用して金銭をだまし取る攻撃です。
典型的には、次のような流れで行われます。
- 攻撃者が取引先、経営者、担当者などを調べる
- 本物らしく見えるメールアドレスや文面を用意する
- 請求書、振込先変更、緊急送金などを装ってメールを送る
- 担当者が正当な依頼だと思い、偽の口座へ振り込む
- 被害に気付いたときには送金済みになっている
警察庁は、ビジネスメール詐欺を、取引先や自社の経営者などになりすまして偽の電子メールを送り、入金を促す詐欺として説明しています。詳しくは、警察庁のビジネスメール詐欺に注意！が参考になります。
IPAも、ビジネスメール詐欺（BEC）対策として、事例、FAQ、対策情報を公開しています。
SG試験では、BECの類型名を細かく暗記するより、だまし方と最終目的を大まかに押さえると選択肢を切りやすくなります。
| 観点 | 典型的な内容 | 判断ポイント |
|---|---|---|
| 取引先なりすまし | 請求内容や支払口座の変更を装う | いつもと違う口座・支払条件が出る |
| 経営層なりすまし | 権限者からの緊急依頼に見せる | 急ぎ・秘密・例外処理を強調する |
| 正規アカウント悪用 | 侵害されたメールアカウントから連絡する | メールアドレスだけでは判別しにくい |
| 外部関係者なりすまし | 専門家・仲介者などを装う | 権威や期限で判断を急がせる |
| 事前調査 | 組織内の担当者や取引情報を集める | 後の金銭詐欺の材料になる |
どんな場面で使う？
BECは、SG試験では主に次のような場面で出てきます。
- 経理・購買・営業部門の送金処理
- 取引先からの請求書確認
- 振込先変更の依頼
- 経営者や上司を装った緊急指示
- メールアカウントの乗っ取り後の不正連絡
- 標的型攻撃メールやフィッシングとの切り分け
対策では、技術的なメール対策だけでなく、業務手続の見直しが重要です。
| 対策 | 目的 |
|---|---|
| 振込先変更をメールだけで処理しない | 偽メールによる口座変更を防ぐ |
| 電話など別経路で確認する | メールアカウント乗っ取りにも備える |
| 複数人承認にする | 1人の判断だけで送金しない |
| 取引先マスタ変更のルールを決める | 口座情報の改ざんを防ぐ |
| 不審メールの報告手順を整備する | 早期発見と被害拡大防止につなげる |
| SPF、DKIM、DMARCを導入する | なりすましメールを減らす補助策にする |
SG試験では、「メール認証を導入すれば完全に防げる」といった選択肢に注意します。
BECでは、正規のメールアカウントが乗っ取られる場合や、本文が自然に作られている場合もあります。そのため、技術的対策と業務上の確認手続を組み合わせることが重要です。
よくある誤解・混同
BECとフィッシングの違い
フィッシングは、偽サイトなどに誘導してID、パスワード、クレジットカード情報などを入力させる攻撃です。
一方、BECは、業務メールを装って送金や支払をさせる点が中心です。
| 用語 | 主な狙い | 判断ポイント |
|---|---|---|
| BEC | 金銭の送金・支払 | 偽請求書、振込先変更、経営者なりすまし |
| フィッシング | 認証情報などの入力 | 偽サイト、ログイン情報、個人情報入力 |
「偽サイトでIDを入力させる」ならフィッシング、「偽の振込先へ送金させる」ならBECを疑います。
BECと標的型攻撃メールの違い
標的型攻撃メールは、特定の組織や担当者を狙って業務メールを装う攻撃です。
BECも特定の企業や担当者を狙うため、標的型攻撃メールの一種として整理できます。ただし、SG試験でBECとして問われる場合は、最終目的が送金や支払などの金銭被害にある点を重視します。
BECとSPFの違い
SPFは、送信元メールサーバが正規のものかを確認する仕組みです。
BEC対策として役立つことはありますが、SPFだけで次のような問題までは判断できません。
- メール本文の指示が正しいか
- 振込先変更が本当に取引先からの依頼か
- 正規アカウントが乗っ取られていないか
- 担当者が承認手順を守っているか
そのため、BECの選択肢では、メール認証だけでなく、別経路確認や承認フローがあるかを確認します。
偽メールならすべてBEC？
偽メールを使う攻撃は多くありますが、すべてがBECではありません。
| 表現 | 疑う用語 |
|---|---|
| 不特定多数に大量送信 | ばらまき型メール |
| 特定組織を狙って作り込む | 標的型攻撃メール |
| 偽サイトでID・パスワードを入力させる | フィッシング |
| 偽請求書や振込先変更で送金させる | BEC |
| 送信元IPアドレスでなりすましを確認する | SPF |
SG試験では、何をさせようとしているかを見ます。送金させるならBEC、入力させるならフィッシング、開かせるなら標的型攻撃メールやばらまき型メールを疑います。
確認問題（SG試験対策）
次のうち、BEC（ビジネスメール詐欺）の説明として最も適切なものはどれか。
- ア. 業務メールを装って支払手続を誤らせ、攻撃者側へ金銭を移動させる攻撃である。
- イ. 大量の広告メールを送信し、受信者に商品の購入を促す手法である。
- ウ. 偽サイトに誘導して認証情報を入力させる攻撃だけを指す。
- エ. 送信元メールサーバの正当性をDNS情報で確認する仕組みである。
▶ クリックして答えと解説を見る（ここを開く）
正解：ア
解説
- ア：適切。業務メールを装い、支払や送金の業務判断を誤らせる点がBECの典型です。
- イ：不適切。不特定多数への広告メールであり、BECの説明ではありません。
- ウ：不適切。偽ログイン画面で認証情報を入力させる攻撃は、主にフィッシングです。
- エ：不適切。これはSPFの説明であり、BECそのものではありません。
👉 判断ポイント 「支払・送金」「口座情報の変更」「権限者や取引先のなりすまし」があれば、BECを疑います。
まとめ（試験直前用）
BECは、取引先や経営者を装ったメールで、偽の口座へ送金させるビジネス上の詐欺です。
SG試験では、次のように判断します。
- 偽請求書・振込先変更・送金指示 → BEC
- 偽サイトでIDやパスワードを入力させる → フィッシング
- 特定組織を狙って業務メールを装う → 標的型攻撃メール
- 送信元メールサーバを確認する → SPF
- 対策は、メール認証だけでなく、別経路確認・複数人承認・教育訓練を組み合わせる