社長なりすましメール　声も動画も使われていない

届くのは、フリーメールから来る短い1通

独立行政法人情報処理推進機構（IPA）が2026年3月12日に出した注意喚起に、届くメールの姿がそのまま書いてあります。

件名は自社の会社名になっていることが多い、とも書かれています。IPAの相談窓口には、2025年12月16日から2026年3月10日までに106件が寄せられました。

このページを最後まで読んでも、「AI」「ディープフェイク」「音声」という語は1つも出てきません。警察庁のSOS47が2026年2月13日に出した注意喚起も同じで、手口は①公開されている法人のメールアドレスにメールを送る ②SNSのグループを作らせてQRコードを返信させる ③グループの中で送金させる、の3段階として説明されています。こちらにも声や動画は出てきません。

ところがIPA自身は、声と動画を作る手口を書いている

同じIPAが毎年出している「情報セキュリティ10大脅威」の2026年版を開くと、書きぶりが変わります。10位のビジネスメール詐欺の解説にこうあります。

つまり、声や動画を使う手口が無いわけではありません。あるものとして脅威の一覧に載っています。

それでも、いま日本で実際に金が動いているこの波について出された2本の注意喚起には、声も動画も出てこない。入口はメール1通と、グループの作成依頼です。身構える場所と、実際に来る場所がずれている、というのがこの波の形でした。

埼玉の事例では、7回に分けて送金している

埼玉県警察が公表している事例を追うと、1通のメールのあとに何が起きるかが分かります。

令和8年1月の事例で、県内の被害は2億1,900万円。犯人は社長のSNSのアイコンやメールアドレスを模倣して接触していた、と県警は書いています。

ここで見ておきたいのは、4行目です。1回の判断で終わっていません。7回あったということは、途中で止まれる場面が6回あったということでもあります。

同じ手口で、1社から1億5千万円が送られた事例も出ています。

狙われる入口は「公開されている法人のメールアドレス」

「うちみたいな小さい会社は関係ない」と考えている人に、警察庁の原文を置いておきます。最初の1通が飛んでくる先は、こう書かれています。

会社の規模ではなく、連絡先が外から見えるかどうかで選ばれています。問い合わせ先を載せているだけで名簿に入る、ということです。

不動産会社は、社長の名前が法律で公開されている

業種によっては、公開しているのがメールアドレスだけでは済みません。宅地建物取引業法は、免許を出す国土交通大臣か都道府県知事に対して、こう命じています。

名簿に載る中身は第八条第二項で決まっていて、そこから第四条第一項をたどると、商号または名称、法人ならその役員の氏名、事務所の名称と所在地が並んでいます。社名と社長の名前と事務所の住所が、制度としてあらかじめ外に出ている状態です。

メールアドレスまで名簿に載るわけではありません。ただ、なりすます側から見ると、誰の名前を名乗ればよいかを調べる手間が、この業種では最初から要りません。自社サイトに代表者名と問い合わせ先を出していれば、残りもそろいます。

破られているのは注意力ではなく、送金の手順

IPAが挙げている対策を読むと、並んでいるのは人の心がけではありませんでした。

「怪しいメールに気をつける」ではなく、別の経路で確かめるとひとりで送金を完了できなくするの2つです。担当者の注意力を上げる話ではなく、社長の一声で送金が通ってしまう手順のほうを直す話になっています。

小さい会社ほど、社長に直接聞ける距離にいます。その距離が、この手口では逆に働きます。「社長から直接来たのだから確認するまでもない」が、そのまま入口になります。

10大脅威では、AIが3位でビジネスメール詐欺が10位

IPAの「情報セキュリティ10大脅威 2026」組織編の順位を見ると、2つが同じ表に並んでいます。

3位のAIは2026年が初選出で、中身は「AIに対する不十分な理解による、意図しない問題（他者の権利侵害、情報漏えい）」「AIが加工・生成した結果を鵜呑みにすることにより生じる問題」「AIの悪用によるサイバー攻撃の容易化、手口の巧妙化」の3つです。いっぽう10位のビジネスメール詐欺は2018年の初選出から9年連続で、新顔ではありません。

同じ資料の事例欄には、今回の波そのものも記録されています。2025年12月以降、社長や役員等になりすましたメールを従業員へ送り、グループの作成を依頼する簡潔な文面のメールが相次いだ、という書きぶりです。

私はこう読みました

私は、「AIで仕事がどう変わるか」を考えるとき、この件はいちばん冷たい答えを出していると見ています。攻撃の側でAIが進んだのは、文面の自然さや翻訳のところです。それでも、日本でこの冬いちばん金が動いた手口は、フリーメールから来る数行のメールでした。道具が新しくなっても、破られているのは同じ場所——ひとりで送金を完了できてしまう手順のほうです。

だとすると、社内で先に直すのは検知の仕組みではありません。振込の承認を2人にすることと、社長からの依頼でも必ず別の経路で確認する、という2つだけです。どちらもAIを入れなくてもできます。むしろAIを入れたあとのほうが、確認する項目は増えていきます。その話はAIを入れたのに仕事が減らないのはなぜ？にまとめました。

よくある質問

Q. 社長のアイコンも名前も本物でした。それでも偽物ですか。
A. 埼玉県警察は、犯人が社長のSNSのアイコンやメールアドレスを模倣して接触していたと書いています。表示される名前と絵は真似できるので、アドレスの＠より後ろを見てください。

Q. 声で電話がかかってきたら本物ですか。
A. IPAの10大脅威2026は、生成AIによる偽電話を使う手口も確認されていると書いています。声は本人確認の材料になりません。

Q. すでに送金してしまいました。
A. 取引した金融機関と警察に、できるだけ早く連絡してください。警察相談専用電話は#9110です。

Q. 小さい会社でも狙われますか。
A. 警察庁が書いている入口は「インターネット等で公開されている法人のメールアドレス」です。規模ではなく、連絡先が外から見えるかどうかで選ばれています。

Q. この記事の数字はいつの時点のものですか。
A. IPAの相談106件は2025年12月16日から2026年3月10日まで、埼玉県内の2億1,900万円は令和8年1月の事例、10大脅威の順位は2026年版のものです。

生活・仕事にどう効くか

• メールが届いた：差出人はフリーメール、件名は自社の会社名が多い。本文は短く、グループの作成とQRコードの返信を求めてくる。
• 送金の判断をする立場：埼玉県内の事例では、口座残高を答えたあとに指示が続き、担当者が7回にわたって送金している。1回で終わらない。
• 会社の情報が外に出ている：宅地建物取引業者名簿のように、商号・役員の氏名・事務所の所在地を法律で一般の閲覧に供している業種がある。

公式出典

• IPA「社長等をかたる詐欺メールに注意！」（2026年3月12日発表）
• 警察庁 SOS47「法人を対象とした詐欺（ニセ社長詐欺）に注意！」（2026年2月13日発表）
• 埼玉県警察「ニセ社長詐欺に注意！」（2026年3月3日発表）
• IPA「情報セキュリティ10大脅威 2026」組織編（2026年1月29日発表）
• 宅地建物取引業法 第八条・第十条（e-Gov法令検索）（2026年9月22日発表）

更新履歴

• 2026年9月22日　初版を公開