ビジネスメール詐欺とCEO詐欺：研究データでわかったこと
この記事のポイント ・約14分で読めます
- ビジネスメール詐欺（BEC）による米国の被害届の損失は2025年に30億5,000万ドルで、FBIへの届け出2万4,768件分でした。届け出件数の2.5%にすぎないのに、報告された損失全体の14.6%を占めています。
- これは届け出があった分だけです。FBIが2013年から数えている世界全体の「被害にさらされた額」は2023年末までに550億ドルを超え、届け出られなかった額は誰にも分かりません。
- 取り戻せるかどうかはスピードで決まります。2025年にFBIの迅速な凍結手続きが使われた案件では、狙われた資金の58%が凍結されました。引き出された後では、たいてい戻りません。
- 2024年にはディープフェイクのビデオ会議で、技術コンサルティング会社アラップが2億香港ドルを失いました。研究では、人がディープフェイクを見抜ける確率は偶然とほとんど変わりません。
多くの詐欺は、たくさんの人から少しずつお金を奪います。ビジネスメール詐欺はその逆です。犯人は経理部や法律事務所、町役場の誰か1人を説得し、大きな支払いを1回、間違った口座に送らせます。たいていは取引先や上司になりすまします。2025年にFBIに届け出られたこの犯罪の平均損失は約12万3,000ドルで、ネット犯罪全体の平均の約6倍でした。
マルウェアも高度な技術もいりません。道具はメールアカウント、本物によく似たドメイン、そして絶妙なタイミングの依頼だけ、ということも少なくありません。2025年のFBIの年次報告では、届け出件数に占める割合は小さいのに、損失額では投資詐欺に次ぐ2番目に大きな分類でした。
この記事では、詐欺のしくみ、公式の数字が捉えているものと捉えていないもの、奪われたお金がどれくらい取り戻されるか、そして組織が頼る対策について研究が何を示しているかを見ていきます。一般的な情報であり、法律や金融の助言ではありません。
詐欺のしくみ
FBIはBECを、取引先への電信送金を日常的に行う企業や個人を狙い、メールアカウント、さらに最近では電話番号やビデオ会議アプリを乗っ取って行う詐欺だと説明しています。よくある型は3つです。支払い先の変更では、メールボックスを盗み見た犯人が、実際の取引の途中に「振込先が変わりました」というメッセージを差し込みます。請求書詐欺では、偽の、または書き換えられた取引先の請求書が届きます。経営者へのなりすましでは、社長や財務責任者を名乗る人物が、急ぎで内密の送金を求めます。
従業員650人以上のチェコの科学機器メーカーを扱った2025年の事例研究は、手口がいかにありふれているかを示しています。2017年、犯人は販売代理店のメールボックスを乗っ取りました。パスワードが弱く、2段階認証もありませんでした。犯人は本物の請求書を消し、メーカーのドメインと1文字だけ違うドメインから送り直し、振込先をワルシャワの口座に書き換え、さらに会社の年次報告書からコピーした社長の署名入りの「口座変更通知」を添えました。
代理店は支払い、損失を負担することになりました。犯罪学者の Cassandra Cross と Rosalie Gillett が2020年に Journal of Financial Crime に発表したレビューは、この犯罪の研究が技術的な防御に偏り、人の側面が置き去りにされてきたと指摘しています。この詐欺は信頼関係を利用して成功するため、技術的なフィルターだけでは止められないことが多いのです。
届け出られた数字
最もよく知られた数字は、IC3と呼ばれるFBIのインターネット犯罪苦情センターのものです。2025年、IC3には100万8,597件の届け出があり、損失は209億ドルでした。そのうちビジネスメール詐欺は2万4,768件、30億5,000万ドルでした。これより大きいのは86億ドルの投資詐欺だけです。BECの年間総額は2022年以降、毎年27億〜31億ドルと驚くほど安定しています。
FBIに届け出られたビジネスメール詐欺の損失
インターネット犯罪苦情センターへの届け出に含まれる損失（年別）。届け出分のみ。
出典：FBI IC3、2024 Internet Crime Report（2022〜2024年の数字）、FBI IC3、2025 Internet Crime Report。
目を引くのは1件あたりの大きさです。2025年、BECは届け出件数の2.5%でしたが、報告された損失の14.6%を占めました。損失を件数で割ると、BECは1件あたり約12万3,000ドル、届け出全体では約2万700ドルです。少数の巨額案件に引き上げられた大まかな平均ですが、1通のメールが小さな会社や慈善団体、町の議会にとってどれほど重いかを物語っています。
件数は少なく、損失は大きい
2025年のIC3への届け出全体とビジネスメール詐欺の比較。平均は当サイトの計算。
| 指標 | 届け出全体 | BEC |
|---|---|---|
| 届け出件数 | 1,008,597 | 24,768 |
| 報告された損失 | 209億ドル | 30億5,000万ドル |
| 損失全体に占める割合 | 100% | 14.6% |
| 1件あたりの平均損失 | 約2万700ドル | 約12万3,000ドル |
出典：FBI IC3、2025 Internet Crime Report。平均は損失総額を件数で割ったもので、巨額案件の影響を受けます。
数字に表れないもの
IC3が数えているのは届け出であって、犯罪そのものではありません。間に合って不正に気づいた会社、保険会社と静かに処理した会社、恥をかくより黙っていることを選んだ会社は、統計に入りません。年次報告は届け出られなかった額を推計しておらず、信頼できる数字はありません。2017年のIC3のBECデータ9か月分を分析した Simpson と Moore も、被害者が届け出ることを選んだ損失しか調べられませんでした。
差の大きさをうかがわせる資料が2つあります。FBIが時々出す公共広報（PSA）は、未遂を含め、米国内外の案件を数える「被害にさらされた額」というより広い指標を使っています。この指標では、2013年10月から2023年12月までに世界で30万5,033件、555億ドルがBECの被害にさらされました。また、米国の企業の財務担当者521人を対象にした金融専門家協会（AFP）の2025年の業界調査では、63%が2024年に自分の組織がBECの未遂か実害にあったと答えています。
FBIによる世界全体の累計
2013年10月以降のビジネスメール詐欺で被害にさらされた額（未遂を含む）。FBIの公共広報より。
| 期間 | 件数 | 被害にさらされた額 |
|---|---|---|
| 2013年10月〜2022年12月 | 277,918 | 509億ドル |
| 2013年10月〜2023年12月 | 305,033 | 555億ドル |
| 米国の被害者のみ（2023年12月まで） | 158,436 | 201億ドル |
出典：FBI IC3 公共広報 PSA230609（2023年6月）、I-091124-PSA（2024年9月）。被害にさらされた額は、実際に失われた額と同じではありません。
調査も「被害にさらされた額」も、損失だけでなく未遂も数えているため、どちらも実害を正確に数えたものではありません。それでも示す方向は同じです。FBIの年間30億ドルは下限であり、この犯罪の本当の損失は分かっていません。
メールからビデオ会議へ
2024年1月、英国の技術コンサルティング会社アラップの香港事務所の社員に、英国にいる最高財務責任者（CFO）からとみられる内密の取引についてのメッセージが届きました。社員はその後ビデオ会議に参加し、そこには財務責任者やほかの同僚が映っていました。全員が、公開されている動画と音声から作られた偽物でした。社員は香港の5つの銀行口座に15回送金し、合計は2億香港ドル（約2,500万米ドル）にのぼりました。アラップは偽の声と映像が使われたことを認め、社内システムは侵害されていないと説明しました。
この事件は珍しいからこそ有名になったのですが、その背後にある流れは数字に表れています。IC3には2025年、人工知能（AI）に言及した届け出が2万2,364件あり、あらゆる犯罪の種類を合わせた損失は8億9,300万ドルでした。2024年のBECの定義でも、メールと並んでビデオ会議アプリが侵入経路として挙げられていました。
人は合成されたメディアをうまく見分けられません。参加者8万6,155人、56件の研究をまとめた2024年のメタ分析では、ディープフェイクを見抜く正答率は全体で55.5%で、偶然と有意な差はありませんでした。文章も同じです。101人を対象にした2024年のプレプリント研究では、AIが全自動で書いた標的型フィッシングメールのクリック率は54%で、人間の専門家が書いたメールと同じで、一般的なフィッシングの12%を大きく上回りました。
機械が書いた誘い文句は専門家と同じくらい効く
フィッシングメールの書き手別の、リンクをクリックした受信者の割合。参加者101人の小規模研究、プレプリント。
出典：Heiding F、Lermen S、Kao A、Schneier B、Vishwanath A、arXiv:2412.00586（2024）。執筆時点で査読前。
ここから引き出されることが多い教訓は、偽物を見抜くことを目標にするのは間違いだ、というものです。声も顔も文体もまねできるなら、頼れる確認は犯人が手を出せない確認だけです。
資金凍結との時間競争
不正な送金がされてしまったら、何より大切なのは時間です。FBIは2018年に資金回収チーム（RAT）をつくり、「金融詐欺キルチェーン」と呼ぶ手続きで銀行と協力して、資金が移される前に凍結しようとしています。2019年に米国の業界向けに説明された内容では、対象は5万ドル以上の電信送金で、送金から72時間以内、銀行による組戻しがすでに始まっていることが条件でした。条件はその後変わっている可能性があります。
結果は書類の上では良好です。2024年、チームは3,020件、8億4,840万ドル分に対応し、5億6,160万ドルを凍結しました。成功率は66%です。2025年は3,900件、11億6,000万ドル分に対応し、6億7,900万ドル、58%を凍結しました。ただし、これらは数日以内に届け出られた迅速な案件で、凍結されたお金がそのまま返ってくるとは限りません。3,900件にはあらゆる種類の詐欺が含まれ、同じ年のBECの届け出だけでも2万4,768件ありました。
遅れた案件はアシュフィールドのようになります。不正な支払いが分かったのは1週間後で、受け取り口座は約2週間のうちに開設され、空にされ、閉じられていました。距離も壁になります。Simpson と Moore は、海外に送られたお金は取り戻されにくいことを見いだしています。
FBIが素早く動いたとき
IC3の資金回収チームが扱った金融詐欺キルチェーンの案件（詐欺の種類はすべて）。
件数：3,020
狙われた額：8億4,840万ドル
凍結：5億6,160万ドル（66%）
凍結額のうち9,250万ドルは海外
件数：3,900
狙われた額：11億6,000万ドル
凍結：6億7,900万ドル（58%）
凍結された資金が必ず返るとは限らない
出典：FBI IC3、2024年・2025年 Internet Crime Report。成功率は、迅速に回付された案件で狙われた額に対する凍結額の割合。
英国の銀行が見ているもの
英国の銀行は、よく似た2つの分類を報告しています。2025年、UK Finance は、本物の取引先に支払おうとした被害者が振込先を変えるよう仕向けられる「請求書・口座変更詐欺」を2,305件、損失4,130万ポンドと記録しました。「CEO詐欺」は197件、損失560万ポンドでした。請求書詐欺の損失の約3分の2は、企業など個人以外の口座でした。
取り戻された割合は大きく違います。請求書・口座変更詐欺の被害者には、銀行による返金や受け取り口座からの回収で2,000万ポンド、損失の48%が戻りました。CEO詐欺の被害者に戻ったのは110万ポンド、20%でした。数が少なく理由の内訳もないため、この差から多くを読み取るべきではありません。
英国で被害者に戻った損失の割合（2025年）
銀行による返金や受け取り口座からの回収で戻った額の、損失に対する割合。割合は当サイトの計算。
出典：UK Finance、Annual Fraud Report 2026（2025年のデータ）。請求書・口座変更詐欺2,305件、CEO詐欺197件。
英国の報告はFBIとは範囲が違うため、直接は比べられません。英国の数字が教えてくれるのは、すべての送金が追跡できる銀行の仕組みの中でさえ、お金の約半分は戻らないということです。
対策の根拠
よく勧められるのは手続きによる対策です。FBIの2024年の公共広報は、支払い先の変更は必ず別の経路で確認するよう組織に求めています。チェコの会社が被害の後にとった対応もこの種のものでした。振込先の変更は署名した契約の修正によってのみ行うことにし、その決まりをすべての請求書に印刷したのです。2023年の2件目の事件では、不正が報告された後、顧客の銀行が送金を止めました。
欠けているのは、こうした対策がどれほど効くかの証拠です。この記事のために研究文献を探したところ、折り返し電話による確認、二重承認、取引先情報の照合についての推奨や事例研究は見つかりましたが、防げた詐欺の数を測った対照試験は見つかりませんでした。Cross と Gillett はこの犯罪の予防研究の乏しさを指摘しており、Computers & Security 誌の2025年のシステマティックレビューも同じような結論に達しています。
答えとして意識向上研修が挙げられることもよくあります。フィッシング研修の根拠については当サイトの別の記事で扱っており、業者が言うほど強くはありません。それでもBECについては、確認という対策の理屈はいまも通ります。登録済みの番号への電話は、偽のメールにも偽の声にも偽の顔にも効きます。犯人はその番号を操れないからです。分からないのは、忙しい職員がその電話をどれだけきちんとかけるかです。
根拠から言えること
ビジネスメール詐欺は、信頼とタイミングの犯罪です。米国で届け出られた損失は年に約30億ドルで推移し、件数は少ないものの1件あたりの平均損失は非常に大きく、届け出られない案件が多いため本当の総額は分かりません。取り戻せるかどうかはスピードしだいです。FBIと銀行が数日のうちに動けば、狙われた資金の半分以上が凍結されることも多い一方、1週間後に見つかった詐欺はたいてい手遅れです。ディープフェイクはなりすましを容易にし、人はそれを確実には見抜けません。犯人が操れない経路での確認は理にかなった防御ですが、その効果は対照研究で確かめられていません。
行動の手順
役に立つ時期の順に並べている。各項目に根拠の強さを示した：データあり 公的機関の推奨 未検証
起きる前に
その後
- お金が出てしまったら、その日のうちに銀行に電話し、警察（米国ではFBIのIC3）に届け出る。早い事例では半分以上が凍結されることが多く、1週間後に気づいた詐欺はたいてい手遅れだ。 データあり 参考文献を参照
印刷できるチェックリスト付きの手順ガイド：詐欺師に送金してしまったら：やるべきことを順番に
これらの対策がどれだけ詐欺を防ぐかを測った対照研究はまだない。
よくある質問
ビジネスメール詐欺とは何ですか？
犯人が取引先や同僚、経営者になりすまし、たいていはメールで、自分の口座に支払いを送らせる詐欺です。乗っ取ったメールボックスや本物によく似たドメインが使われることが多くあります。
BECの被害額はどれくらいですか？
2025年のFBIへの届け出では30億5,000万ドルの損失が報告されました。届け出分だけなので、実際の額はもっと大きくなります。
BECで失ったお金は取り戻せますか？
銀行と警察に数日以内に伝えれば、取り戻せることもあります。2025年にFBIが扱った迅速な案件では、狙われた資金の58%が凍結されました。届け出が遅れるとほとんどうまくいきません。
ディープフェイクのビデオ会議は見抜けますか？
確実には見抜けません。56件の研究をまとめたメタ分析では、人が見抜ける正答率は約55%で、当て推量とほとんど変わりませんでした。
折り返し電話による確認でBECは防げますか？
広く勧められていて理屈も通っています。犯人は登録済みの番号にかかってきた電話には出られないからです。ただし、それでどれだけの詐欺を防げるかを測った対照研究はまだありません。
まとめ
- ビジネスメール詐欺（BEC）による米国の被害届の損失は2025年に30億5,000万ドルで、FBIへの届け出2万4,768件分でした。届け出件数の2.5%にすぎないのに、報告された損失全体の14.6%を占めています。
- これは届け出があった分だけです。FBIが2013年から数えている世界全体の「被害にさらされた額」は2023年末までに550億ドルを超え、届け出られなかった額は誰にも分かりません。
- 取り戻せるかどうかはスピードで決まります。2025年にFBIの迅速な凍結手続きが使われた案件では、狙われた資金の58%が凍結されました。引き出された後では、たいてい戻りません。
- 2024年にはディープフェイクのビデオ会議で、技術コンサルティング会社アラップが2億香港ドルを失いました。研究では、人がディープフェイクを見抜ける確率は偶然とほとんど変わりません。
- 犯人が操れない経路で支払い先の変更を確かめることは理にかなった防御ですが、それがどれほど効くかを測った対照研究はありません。
この記事は公表された研究と公的な犯罪統計を一般的な情報として要約したもので、法律・金融・セキュリティの助言ではなく、特定の製品や事業者を勧めるものでもありません。支払いが詐欺師に渡ったと思ったら、すぐに銀行に連絡し、警察に届け出てください。米国ではFBIの ic3.gov にも届け出ができます。日本では、警察の相談窓口（#9110）や最寄りの警察署に相談できます。
さらに読む：年間の数字と資金回収チームの成果は、FBI IC3 の 2025 Internet Crime Report。この犯罪について分かっていることと分かっていないことのレビューは、Cross と Gillett、Journal of Financial Crime（2020）。英国の件数と回収率は、UK Finance の Annual Fraud Report 2026。
- Fancy Bear Goes Phishing、Scott J. Shapiro（2023）。イェール大学の哲学者でプログラマーでもある著者が、有名な5つのハッキング事件を解説し、弱点はたいてい巧妙なコードではなく人の手抜きにあると説く本。読みやすく鋭い内容ですが、扱うのはハッキング全般で、支払い詐欺ではありません。
- Duped、Timothy R. Levine（2020）。コミュニケーション研究者が、疑うきっかけがあるまで人は相手を信じるという「真実デフォルト理論」を示した本。だましの科学には強いものの、学術的な書き方で、詐欺そのものを扱った本ではありません。
- Scam Me If You Can、Frank Abagnale（2019）。元詐欺師で詐欺対策コンサルタントになった著者による、よくある詐欺への平易な助言。実用的ですが、以前の本で語られた本人の経歴の一部には、その後疑問が呈されています。
参考文献
- FBI Internet Crime Complaint Center. 2025 Internet Crime Report (2026).
- FBI Internet Crime Complaint Center. 2024 Internet Crime Report (2025).
- FBI IC3. Business Email Compromise: The $55 Billion Scam, public service announcement I-091124-PSA (September 2024).
- FBI IC3. Business Email Compromise: The $50 Billion Scam, public service announcement 230609 (June 2023).
- Cross C, Gillett R. Exploiting trust for financial gain: an overview of business email compromise (BEC) fraud. Journal of Financial Crime (2020), doi:10.1108/JFC-02-2020-0026.
- Simpson G, Moore T. Empirical analysis of losses from business-email compromise. APWG eCrime Symposium (2020), doi:10.1109/eCrime51433.2020.9493250.
- Václavík L, Špatenka J, Petrová K. Resilience against business email compromise: a corporate case study (2025).
- Almutairi A, Kang B, Al Hashimy N. Business email compromise: a systematic review of understanding, detection, and challenges. Computers & Security (2025), doi:10.1016/j.cose.2025.104630.
- Diel A et al. Human performance in detecting deepfakes: a systematic review and meta-analysis of 56 papers. Computers in Human Behavior Reports (2024), doi:10.1016/j.chbr.2024.100538.
- Heiding F et al. Evaluating large language models’ capability to launch fully automated spear phishing campaigns. arXiv:2412.00586 (2024), preprint.
- UK Finance. Annual Fraud Report 2026.
- Association for Financial Professionals. 2025 Payments Fraud and Control Survey, press release, 15 April 2025.
- American Land Title Association. Hit by wire transfer fraud? Use the kill chain process, 31 January 2019.
- Dezeen, 17 May 2024; Hong Kong police briefing reported by the Philippine Daily Inquirer, February 2024.
- Greenfield Recorder, 17 September 2026.
