ビジネスメール詐欺——振込先の変更は、台帳の番号へ折り返す

はじめに——その振込先は本物か

月末の事務室に、いつもの医薬品の卸の名前でメールが届きます。「弊社の振込先口座が変更になりました。今月分から下記の口座へお願いいたします」。言葉づかいは丁寧で、添付の請求書の書式も、先月までと同じに見えます。

同じ週、事務長の受信箱に、院長の名前で 1 通届きます。「至急お願いしたい件があります。この件は他の職員には内密に」。

先生の院の事務長は、この 2 通を見分けられるでしょうか。

私は、見分けようとしないほうがよいと考えています。情報処理推進機構 (IPA。経済産業省が所管する、情報セキュリティの注意喚起などを出している独立行政法人) は、ビジネスメール詐欺の文面は「違和感がなく巧妙で、なりすましだと見抜けないことがある」と書いています[1]。

2026 年 1 月には、少なくとも 3 つの医療法人が、理事長の名をかたるメールについて注意を呼びかけました[13][14][15]。経営者になりすます「ニセ社長詐欺」について、警察庁は 2026 年 1〜6 月の数字を公表しています。警察が把握した件数 (認知件数) が 127 件、被害額は約 38 億 8,000 万円です[11]。

この記事では、文面を読み込んで見分けるかわりに、確かめる経路を先に決めておく方法を書きます。取引先ごとの番号を控える「折り返し台帳」、院長のひと言、取引先と銀行に送る文面を用意しました。記事の終わりには、印刷用の台帳とチェックシートを付けています。

この記事で最初に決めることは 1 つです。お金の依頼を確かめるときは、メールの中の番号ではなく、台帳の番号へ電話する。

急ぐ方は、今日は次の 3 つだけで十分です。金額の大きい 3 社だけなら、3 つ合わせて 30 分ほどで終わると思います (編集部の見立て)。

• 手順 1: 金額の大きい 3 社の電話番号を、契約書や前からの請求書から台帳に写す
• 手順 2: 院長が職員に「私の名前の急ぎの依頼も、私の携帯に折り返して確かめて」とひと言かける
• 手順 3: 「お金の依頼は台帳の番号へ折り返す」と書いた紙を 1 枚、事務の机に貼る

そもそもビジネスメール詐欺とは

本題の前に、言葉を 5 つだけ置き換えておきます。

• ビジネスメール詐欺 = 取引先や経営者になりすましたメールなどで、偽の銀行口座へお金を振り込ませる詐欺。英語の頭文字で BEC (ビー・イー・シー) とも呼ばれる[1]
• なりすまし = 他人の名前や会社名を名乗って、本人のふりをすること
• 乗っ取り = 本物のメールアカウントのパスワードを盗まれ、本物のアドレスから偽の連絡が送られること
• 折り返し = 届いた連絡に返信するのではなく、こちらから相手に電話をかけ直して確かめること
• 台帳の番号 = 契約書・前からの請求書・名刺など、問題の連絡より前から院が控えている相手の電話番号。この記事では、これを 1 枚の「折り返し台帳」にまとめる

患者確認と同じ考え方

ビジネスメール詐欺への備えは、病棟の患者確認に似ています。

採血や輸血の前に、私たちは「田中さんですね」と聞いて済ませません。患者さん自身に名乗ってもらい、リストバンドやカルテという、別の情報源と照らし合わせます。名乗りがどれだけ自然でも、名乗りだけでは確かめたことにならないからです。

振込先の変更も同じです。メールの差出人の名前、署名、文面、添付の請求書は、どれも「名乗り」です。照らし合わせる先は、名乗りとは別の情報源、つまり台帳の番号です。

警察庁も、メールに書かれた電話番号などは偽装されている可能性があると注意しています。そのうえで、「名刺や自分のアドレス帳などに載っている連絡先を使用してください」と書いています[9]。

型は 2 つある

IPA の整理と警察庁の注意喚起をもとに、診療所に届く形に置き換えると、型は 2 つです[1][9][10]。

1 つ目は取引先のなりすましです。卸・検査会社・リース会社などを名乗り、「振込先が変わった」と新しい口座を知らせてきます。差出人のアドレスが本物そっくりの別物のこともあれば、取引先のメールが乗っ取られて、本物のアドレスから届くこともあります。

IPA の解説書には、モダリス社の子会社の例があります。米国の製造委託先の担当者の、正規のメールアドレスから偽の支払い依頼が届きました。子会社はこれに応じ、最終的な損失は約 1,400 万円だったと、同社が自ら公表しています[1]。アドレスが本物でも、本物の依頼とは限らないということです。

2 つ目は院長 (経営者) のなりすましです。院長や理事長の名前で事務長や職員に届き、「至急」「内密に」と急がせます。2025 年の年末からは、簡潔な文面で LINE のグループを作り、招待用の QR コードを返すよう求めるメールが相次ぎました[1]。警察庁によると、そのあと業務を装って送金を指示されます。グループには振込の権限を持つ担当者を入れるよう言われることもあります[10]。

医療法人の名前も使われた

2 つ目の型には、医療機関の名前も使われています。

2026 年 1 月 7 日、医療法人社団善衆会は、法人と理事長を装い「LINEグループ作成を求める迷惑メール」が確認されていると公表しました[13]。同じ日に医療法人社団 星晶会が、1 月 16 日には朝倉記念病院が、理事長の名前でほかの病院や関係機関、医療機関あてに不審なメールが送られていると知らせています[14][15]。星晶会は「当法人の情報漏洩によるものではございません」とも書いています[14]。名前を使うのに、院の情報が漏れている必要は無いということだと私は読んでいます。

いずれも、名前を使われた側が早く知らせて、ほかの医療機関に注意を呼びかけた公表です。8 月には福井県医師会も、医療機関の「理事長・院長や医師会役員の名ならびに県内の保健所長名を騙るメール」が確認されているとして、会員への注意喚起を再掲載しました[16]。

これらは、医療機関の名前が使われたという公表です。医療機関がお金を振り込んでしまったという公表は、編集部が調べた範囲では見つかりませんでした。

合図は文面でなく、頼まれていること

日本語の自然さは、目印になりません。IPA は、2020 年 3 月の日本語のビジネスメール詐欺の事例について、文章に「不自然な点が少なく」と報告しています[6]。2026 年の解説書は、AI による翻訳の向上で、フィッシング (本物そっくりの偽のメールやサイトで、情報やお金をだまし取る手口) の文面を「標的の母国語で違和感なく表現する」ことが可能になったと書いています[1]。

セキュリティ会社のラックは、送信元の名前や「文面の自然さ、不自然さ、状況のもっともらしさなどを根拠として安全性を判断しないことが極めて重要」と書きました[12]。

声や映像も同じです。香港では 2024 年 1 月、本社の財務責任者になりすました偽のビデオ会議を見た担当者が、約 2 億香港ドルを送金しました。香港政府によると、警察の見立てでは、会議は公開された映像と声から作った録画でした。担当者との間に、やり取りは無かったとされています[17]。

見分ける手がかりは、頼まれている中身です。IPA の解説書は、「緊急」や「他の従業員には秘密」と申し添える手口を挙げています[1]。警察庁は、送金先の変更や緊急の送金のメールに特に注意するよう書いています[9]。これを編集部で 3 つにまとめました。どれか 1 つでもあれば、文面がどれだけ自然でも、折り返す合図にします。

1. お金が動く (振込先の変更・新しい口座への送金)
2. 急がされる、口止めされる (「至急」「本日中に」「この件は内密に」)
3. いつもと違う道を通る (いつもの担当でない、新しいアドレス、LINE など別の連絡手段へ移るよう言われる)

お金の依頼が来たら、文面を読み込まず、台帳の番号へ電話する。先生の院で決めておくのは、これだけです。読み込む時間は要りません。

電話 1 本で止まった例

では、実際に止まった例はどう止まったのか。IPA が公表した事例が参考になります[7]。

国内の会社の社長の名前で、海外のグループ会社の役員にメールが届きました。やり取りはすべて日本語です。偽の依頼は役員を焦らせ、「冷静な判断や他の従業員への相談をさせにくくする」ものだったと IPA は分析しています[7]。

役員は、社内の誰に相談すればよいかをメールで尋ねましたが、答えが返ってきませんでした。不審に思った役員は、社長に電話で確かめました。それで詐欺と分かり、そのあと届いた支払いの要求には応じていません。お金の被害は出ていません[7]。

私がこの事例で目を留めたのは、止めたのが文面の読み込みではなく、電話 1 本だったことです。

IPA の相談の報告も、同じことを書いています。攻撃者は相手を電話やチャット、LINE などの閉じた場へ誘い、第三者への相談や確認がされにくい状況を作ります。一方で、チェック体制がしっかりしている組織や、複数人で対応している組織では、その先の詐欺に進みにくい様子がうかがえる、としています[8]。

先生の院の事務長に、院長の名前で「内密に」と届いたら、院長の携帯に電話できるでしょうか。

診療所は職員が少なく、院長と事務長の距離が近い職場です。それは、相談しにくい空気にもなりうるし、電話 1 本で確かめられる近さにもなりえます。どちらになるかを大きく左右するのは、院長が先にひと言かけておくかどうかだ、と私は考えています。先生の院でやることは、今日、手順 2 のひと言を事務長にかけることです。

自院の穴を見る 6 つの問い

先生の院で、振込のお金が動くまでの道を 6 つの問いでたどってみます。3 分ほどで答えられると思います。手順の番号と混ざらないよう、問いは A〜F で呼びます。

• A. 振込で支払っている取引先はありますか (医薬品の卸・検査会社・リース会社・電子カルテや保守の会社・家賃など)
• B. 取引先から「振込先が変わりました」という連絡を、メールや FAX で受けたことはありますか
• C. 振込は、1 人の操作だけで送金まで進みますか (インターネットバンキングで、別の人の承認を通していない、など)
• D. 院長の名前で「至急」の依頼が届いたとき、受けた職員は院長に電話で聞き返せますか
• E. 取引先ごとの台帳の番号 (契約書・前からの請求書・名刺などにある番号) が、手元にまとまっていますか
• F. 院のホームページなどに、院長の名前と、院のメールアドレスが載っていますか

答えによって、先にやることが変わります。

A が「はい」で E が「いいえ」の院: いちばん先にやるのは、手順 1 の折り返し台帳づくりです。番号が手元に無いと、変更の連絡が来たとき、メールに書かれた番号に電話するしかありません。それでは確かめたことになりません。

B が「はい」の院: これまでの変更が本物だったかを、いまから全部確かめ直す必要はありません (気になる 1 件があれば、台帳の番号へ聞けば済みます)。大事なのは次からです。手順 4 で、取引先に「当院は振込先の変更を、控えている番号へ電話して確かめます」と先に伝えておきます。

C が「はい」の院: 1 人の操作だけで送金まで進むと、だれにでも起こりうる見落としが、そのまま送金になってしまいます。IPA は、お金を支払う業務は「複数人での審査、承認フローを構築し、単独で判断を完結させない」ことを対策に挙げています[1]。手順 5 で、インターネットバンキングに別の人の承認を通す仕組みがあるかを、銀行に聞きます。院長が自分で振込をしている院は、ここが院長自身の手元の話になります。

D が「いいえ」の院: ここがいちばんの決めどころです。この記事で院長にお願いしたいのは、手順 2 のひと言です。

私は、6 つの中でいちばん効くのは D だと考えています。台帳がまだ無くても、院長の携帯に 1 本かけられる院なら、院長の名前のなりすましは、その場で止められるからです。

F が「はい」の院: 名前を隠す必要はありません。管理者 (院長) の氏名は、医療法で院内に掲示することになっています[22]。警察庁によると、ニセ社長詐欺のメールは「インターネット等で公開されている法人のメールアドレス」に届きます[10]。名前もアドレスも知られている前提で、手順 1〜3 のルールを決めます。

人も予算も無い院の最小の形は (編集部の提案)、振込先のある取引先のうち、金額の大きい 3 社だけ番号を台帳に写し、「お金の変更は台帳の番号へ」の 1 枚を事務の机に貼ることです。

6 つの答えは、お金の通り道のどこに「確かめる場所」が無いかを示しています。全部をいちどに埋めなくてかまいません。次の章の手順 1 と 2 は、今日のうちに終わります。

今日・30 日・90 日

3 つの区分

手順には、根拠の強さで区分を付けます。

• 〔ガイドライン〕: 厚生労働省 (厚労省) の安全管理ガイドライン第 7.0 版や、厚労省の事務連絡 (厚労省が都道府県などを通じて医療機関に出す連絡の文書) に書かれていること
• 〔推奨〕: IPA・警察庁などが勧めていることと、編集部の提案。資料に書かれていない担当・期限・順番・文面を含みます

シリーズのほかの記事で使っている〔立入検査〕(保健所の立入検査で確認されるチェックリストの項目) は、この記事の手順には当たりません。厚労省のチェックリスト (令和 8 年度版) には、メールの詐欺や振込、職員の教育や訓練の項目がないからです[19]。安全管理ガイドライン第 7.0 版にも、ビジネスメール詐欺や送金の確認を直接書いた箇所はありません (編集部が全文を検索して確かめました)。

つまり、折り返しの確認をしていないこと自体が、立入検査で指摘される項目にはなっていません。医療法施行規則 第 14 条第 2 項は、診療所の管理者に、「医療の提供に著しい支障を及ぼすおそれがないように」サイバーセキュリティを確保するための「必要な措置」を求めています。その中身は、最新の安全管理ガイドラインを参照するとされています[21]。ただ、お金をだまし取るなりすましの送金依頼への備えがそこに含まれるかどうかは、厚労省の通知からは読み取れません (編集部の確認)。折り返しの確認を義務として書いた法令や通知は、編集部が調べた範囲では見つかりませんでした。この記事の手順の多くは、IPA・警察庁などが勧めている水準のものです。

一方で、ガイドラインは職員への教育を求めています。経営管理編は、関係する人すべてに「定期的な教育・訓練を実施すること」を遵守事項に挙げています[20]。厚労省が 2026 年 5 月 27 日に出した事務連絡も、医療機関に確かめてほしい事項として、「全職員に対する定期的なセキュリティ教育・注意喚起の実施」と「フィッシング対策や標的型攻撃を想定した訓練の実施」を挙げています[18]。この記事の折り返しのルールは、その教育と訓練の題材に使えます。

今日・30 日・90 日の区切り、担当、時間の目安は、すべて編集部の提案です。

今日 (編集部の見立てで 30 分ほど)

1. 折り返し台帳を作る〔推奨〕

   担当: 事務 (振込を担当する人) / 終わりの目印: 振込で支払っている取引先が 1 社 1 行で並び、各行に電話番号と「どこから写したか」が書かれている。

   台帳に書くのは、会社名・電話番号 (代表か経理)・番号をどこから写したか・今の振込先の銀行の 4 つです。記事の終わりの「印刷用チェックシート」の章に、記入用の表を置きました。まず金額の大きい 3 社を書き、残りは手順 4 の通知を送るときに足していけば十分です。

   番号は、問題のメールより前からある紙から写します。契約書、前からの請求書、名刺、会社のホームページの代表番号です。IPA は、メールの署名欄は偽装されている可能性があるので「信頼できる方法で入手した連絡先を使ってください」と書いています[4]。

   電話の着信に出た番号も、そのまま信じません。IPA は、通知される電話番号が偽装されている場合があると書いています。そのうえで、「正規の連絡先を確認した上でかけなおしてみることも有効」としています[4]。

   

2. 院長が、職員にひと言かける〔推奨〕

   担当: 院長 / 終わりの目印: 振込やお金を扱う職員全員に、院長が自分の口で伝えた。

   言うことは次のひと言です。

   私の名前で急ぎのお金の依頼が来ても、私の携帯に折り返して確かめてからにしてください。確かめて手を止めたことを、私は責めません。

   後半の 1 文が大事です。職員が院長の名前の依頼を止められないのは、確かめることが「院長を疑う失礼」に見えるからだと私は考えています。院長が先に「確かめていい」と言っておけば、それは失礼ではなく院のルールになります。

   LINE のグループを作るよう言われる、といった依頼も同じ扱いにします。IPA は、こうした不審なメールには返信せず、送信元とされる人には「電話などの別の方法で確認する」よう勧めています[5]。

3. 1 枚の紙を、事務の机に貼る〔推奨〕

   担当: 事務 / 終わりの目印: 振込の操作をする机から見える場所に貼ってある。

   書くのは次の 1 行です。

   お金・パスワード・データの依頼は、メールや電話の中の連絡先ではなく、台帳の番号へ折り返して確かめてから応じる。

   旗艦記事のAI 時代のサイバー攻撃で決めたルールと同じ文です。ラックは、受け取った人の注意だけで防ぐのは難しく、「個人の注意と組織ルールの両輪」がそろって被害を防げると書いています[12]。貼り紙は、その組織のルールを目に見える形にしたものです。

今日の 3 つが済めば、最小の形 (金額の大きい 3 社の番号・院長のひと言・貼り紙) がそろいます。

30 日

4. 取引先に、「振込先の変更は折り返して確かめます」と知らせる〔推奨〕

   担当: 事務 / 終わりの目印: 台帳の全社に、下の「取引先への通知」を送った日が書かれている。

   先に知らせておけば、本物の取引先は「確認の電話がかかってくるもの」と思ってくれるはずです。院にとっても、変更のたびに説明する手間が省けるでしょう (編集部の見立て)。

5. 銀行に、名義の確かめ方と承認の仕組みを聞く〔推奨〕

   担当: 院長 (口座の持ち主として) / 終わりの目印: 下の「銀行への質問」の答えが台帳の裏に書かれ、使える設定は入れてある。

   名義とは、口座の持ち主として銀行に登録されている名前のことです。IPA は、振込先の変更の依頼を受けたときの対策として、取引先への電話などに加えて「金融機関にその口座の名義等を確認する」ことを挙げています[1]。

   インターネットバンキングでは、口座番号を入れると受取人の名義が画面に出る銀行があります。ただし、取扱時間や相手の金融機関によっては、名義を確かめられない場合があります[24]。ある銀行は、日曜 21 時〜月曜 7 時の他行あての振込では、名義の確認が行われないと案内しています[25]。院の口座 (法人向けのサービス) では、画面や扱いが違うことがあります。院の口座でどう見えるかは、銀行質問ウで確かめます。

   名義が画面に出ても、それだけで本物の取引先の口座とは言い切れない、と私は考えています。名義の確認は、台帳の番号への電話の代わりではなく、もう 1 枚の確かめとして使います。

   別の人の承認を通す設定や、振込の上限額の設定ができるかは、銀行と契約によって違います。だから、ここは「あるか・どう設定するか」を聞きます。

6. 振り込んでしまったときの順番を、台帳の裏に書く〔推奨〕

   担当: 院長 / 終わりの目印: 台帳の裏に、振り込んだ銀行 → 警察 → 取引先 (台帳の番号) の順で番号が書かれている。

   だまされたと気づいたら、最初に電話するのは振り込んだ銀行です。IPA は、回収できた事例もできなかった事例もあるとしたうえで、発覚したら「すぐに送金してしまった銀行に連絡しましょう」と書いています[4]。警察庁は、海外の口座に送金してしまうと、回収は「非常に困難」と書いています[9]。

   国内の口座への振込には、振り込め詐欺救済法という法律があります。この法律は、詐欺などで「預金口座等への振込みが利用されたもの」を対象にしていて、取引先や院長を装う詐欺で振り込んだ場合も、これに当たりえます[23]。法律は、銀行が犯罪に使われた疑いのある口座の取引を止めるなどの措置をとることと、口座に残ったお金をもとに、被害を受けた人へ分配金を支払う手続きを定めています[23]。お金を移すためだけに使われた別の国内の口座も対象になりますが、口座から引き出されてしまった分は、分配のもとになりません。だから、気づいた時刻が早いほど、残っている見込みがあると私は考えます (戻るかどうか、いくら戻るかは口座の残高と手続きしだいで、約束はできません)。

   その次に、警察に連絡します。被害届は最寄りの警察署へ、相談は都道府県警察のサイバー犯罪相談窓口か、警察庁のオンライン受付窓口へ、と警察庁は案内しています[26]。そして本物の取引先には、台帳の番号へ電話して事情を伝えます。

   サイバー保険 (サイバー攻撃や情報漏えいの損害を補う保険) に入っている院もあると思います。IPA の FAQ は、ビジネスメール詐欺で振り込んだお金は、日本国内ではサイバー保険の「補償対象にならないことが多いと言われています」と書いています[4]。約款 (保険の契約の細かい決まりを書いた文書) で確かめておきます。約款の読み方は、サイバー保険の記事(準備中)で扱います。

   逆の向きの知らせもあります。取引先から「御院の名前で、口座が変わったというメールが来た」と言われたら、院のメールが乗っ取られている疑いがあります。このときは連絡体制図の「直す線」で、メールやパソコンを任せている事業者に連絡します。

90 日

7. 職員に説明し、模擬の依頼で練習する〔ガイドライン: 教育・訓練を行うこと〕〔推奨: 練習の中身〕

   担当: 院長・職員 / 終わりの目印: 振込やお金を扱う職員が、模擬の依頼を受けて台帳の番号へ電話するところまで 1 回やり、次にやる日を決めた。

   ガイドラインが求めるのは「定期的な教育・訓練」を行うことで、訓練の中身までは書かれていません[20]。ここでは、5 月 27 日の事務連絡が挙げる「フィッシング対策や標的型攻撃を想定した訓練」を、診療所の大きさにした形を提案します[18]。

   朝礼の 10 分で、院長が「院長の名前で、至急こちらに振り込んでほしい、という連絡が来た」と口頭で投げます。受けた職員が台帳を開いて、院長の携帯に折り返すところまでやります。メールの訓練サービスを使わなくても、この練習はできます。年に 1 回など、続ける間隔も決めておきます。

8. 院の規程に 1 行足す〔推奨〕

   担当: 院長 / 終わりの目印: 運用管理規程 (院の情報の取り扱いの決まり) か、経理の決まりに、手順 3 の 1 行と「振込先の新規登録と変更は 2 人で確かめる」が入っている。

   IPA は、メール以外の方法での確認を含む「電信送金に関する社内規程を整備すること」も必要だとしています[3]。規程の作り方は、チェックリスト 19 項目の記事で扱いました。

ここまでを先生の院に置き換えると、お金の通り道に「確かめる場所」が 3 か所できます。受ける人 (手順 1〜3)、相手の会社 (手順 4)、銀行 (手順 5) です。3 か所の強さは同じではありません。それでも、どこか 1 か所で気づいて止まれば、お金は出ていかずに済みます。

取引先と銀行への文面

先生の院の取引先は、振込先を変えるとき、どんな手続きを踏む会社でしょうか。

ここでは 2 つの文面を用意しました。どちらも編集部が作ったもので、資料が求めている文面ではありません〔推奨〕。手順の番号と混ざらないよう、質問はア〜オで呼びます。

取引先への通知 (手順 4)

振込で支払っている取引先ごとに、同じ文面を送ります。送り先は、台帳に書いた担当者のアドレスか、郵送か FAX です。

件名: 【ご連絡】振込先の変更をご連絡いただく際のお願い

{会社名} ご担当者様

いつもお世話になっております。{医療機関名} の {氏名} です。

取引先の会社を名乗って振込先の変更を求める、なりすましの連絡について、公的機関から注意が呼びかけられています。
当院では今後、振込先の変更のご連絡をいただいた場合、当院が控えている貴社の電話番号へ当院からお電話して確かめたうえで、変更いたします。
メールや書面に記載の電話番号ではなく、こちらで控えている番号へおかけしますので、ご了承ください。
確認がとれるまでの間は、変更後の口座へのお振込みをお待ちいただく場合があります。

あわせて、下記をお知らせいただけますでしょうか。

ア. 振込先の変更やお支払いの確認でお電話する際の、貴社の代表番号または経理のご担当の電話番号
イ. 貴社が振込先を変更する場合、どのような方法 (書面・メール・営業担当からの連絡など) でご連絡いただくことになっていますか
ウ. ご担当者が替わる場合、どのような方法でご連絡いただけますか
エ. 貴社から、メールだけで振込先の変更をお願いすることはありますか
オ. 貴社を名乗る不審な連絡があった場合の、ご相談先を教えてください

{2週間後の日付} ごろまでにご回答いただけますと幸いです。

5 つのうち、いちばん大事なのはアです。

アの番号は、メールで返ってきた番号をそのまま台帳に書かず、契約書・前からの請求書・会社のホームページの代表番号のどれかと見比べてから写します。イとエの答えは、台帳の「変更のときの決まり」の欄に書きます。

私が取引先の答えでいちばん役に立つと思うのは、エです。「当社はメールだけで振込先を変えることはありません」という一文が手に入れば、職員が迷う場面が 1 つ減ります。そのあとメールだけで変更の連絡が来たら、なりすましを疑う理由がはっきりします。

銀行への質問 (手順 5)

取引のある銀行の窓口か、法人向けの問い合わせ先に、次を聞きます。銀行によって仕組みも名前も違うので、「あるか・どう設定するか」を聞く形にしました。ここでは「銀行質問ア〜オ」と呼びます。

ア. 振込先の新規登録や変更を、別の利用者の承認を通さないと実行できないように設定できますか
イ. 1 回・1 日あたりの振込の上限額を、当院で決めて下げることはできますか
ウ. 振込の前に、受取人の口座の名義が画面に出ますか。出ない時間帯や相手の金融機関はありますか
エ. 振込が実行されたとき、院長など別の人にメールなどで知らせが届く設定はありますか
オ. だまされて振り込んでしまったと気づいたとき、夜間・休日に連絡する窓口の番号を教えてください

銀行質問オの番号は、台帳の上から 2 段目に書いておきます。振り込んでしまったときに最初に電話するのは、振り込んだ銀行です (手順 6)。

回答に「承認の仕組みはありません」と返ってくることもあると思います。それも収穫です。その場合は、院内のルールで代わりにします。振込先の新規登録と変更の日だけは、院長が画面を横で見てから実行する、といった決め方です。

費用と頼れる先

折り返し台帳と貼り紙に、費用はかかりません。紙 1 枚と、取引先・銀行への連絡と、番号を写す時間だけです。

インターネットバンキングの承認や上限額の設定に費用がかかるかは、銀行と契約によって違います。診療所向けの公的な相場は、編集部の調べでは見つかりませんでした。手順 5 の銀行への質問で、費用もあわせて聞いてください。

IPA の窓口には、2025 年 12 月 16 日から 2026 年 3 月 10 日までに、社長などをかたる詐欺メールの相談が 106 件寄せられました[5]。被害の件数ではなく相談の件数です。それでも、迷ったときに相談する先があることは、職員に伝えておいてよいと私は考えます。

印刷用チェックシート

折り返し台帳

下の表を A4 1 枚に写して使ってください。取引先が多ければ、金額の大きい順に段を足します。上の 2 段は、院長の携帯と銀行の番号です。

台帳の裏には、手順 6 の順番を書きます。振り込んだ銀行 → 最寄りの警察署 (被害届)・都道府県警察のサイバー犯罪相談窓口 → 本物の取引先 (台帳の番号) → 院長。

チェックシート

院内に貼るか、台帳と一緒に綴じてください。No は本文の手順の番号と同じです。

今日決める 1 つ: お金の依頼を確かめるときは、メールの中の番号でなく、台帳の番号へ電話する。まず、金額の大きい 3 社の番号を台帳に写す。 最初に写す 3 社: ＿＿＿＿＿＿ / ＿＿＿＿＿＿ / ＿＿＿＿＿＿ (決めた日: ＿＿＿＿年＿＿月＿＿日)

おわりに——見分けず、確かめる

ビジネスメール詐欺は、IPA の「情報セキュリティ10大脅威 2026」の組織編で 10 位に入っています[2]。2026 年 1 月には、医療法人の理事長の名前も使われました。文面は自然で、アドレスが本物のことさえあります。だから、見分けるのをやめて、確かめる経路を先に決めておきます。

見抜く力を職員に求めるより、電話をかける先を 1 枚の紙に決めておくほうが、小さな院には向いていると私は考えています。

最初にやることは、お金の依頼は台帳の番号へ電話すると決め、まず金額の大きい 3 社の番号を、契約書や前からの請求書から台帳に写すことです。そこに院長のひと言と 1 枚の貼り紙が加われば、院長の名前の「至急」にも、卸の名前の「口座変更」にも、同じ 1 本の電話で答えられるようになります。電話 1 本で詐欺が止まった IPA の事例も、文面を見抜いたのではなく、本人に電話で確かめたことで止まっていました。

来月の振込の日、先生の院の事務長は、メールの番号と台帳の番号の、どちらへ電話をかけるでしょうか。

保守の会社とのやり取りを確かめたい方は、保守会社に送る 10 の質問をどうぞ。職員の生成 AI の使い方の決め方は、スタッフの生成 AI を 3 種で区切る(準備中)で書きます。

なお、本記事は 2026 年 10 月 26 日時点の公表資料に基づく一般的な情報提供で、個別の契約や法的判断についての助言ではありません。民間の情報メディアが、厚生労働省・警察庁・IPA などの公表資料を読んでまとめたもので、各機関の見解ではありません。情報セキュリティの専門家による監修は受けていません。「推奨」「編集部の提案」と書いた部分と、「私は〜と考えます」と書いた部分は、資料に書かれていない編集部の考えです。医療法人・医師会・モダリス社・香港の事案は、それぞれの公表と IPA の紹介の範囲で紹介しています。銀行のページは、仕組みの例として引いたもので、特定の銀行を勧めるものではありません。本記事は、取り上げた機関・事業者から依頼・報酬・資料提供を受けて書いたものではなく、特定の製品・サービスの推奨もしていません。クリニックAIラボは、ほかの記事で事業者への送客などから収益を得ることがあります (詳しくは利益相反の開示)。本記事の本文には、送客のためのリンクや報酬の仕組みはありません。記事の末尾には、サイトの製品比較のページへの案内が自動で付きます。振込の設定と費用は取引のある銀行に、被害に遭ったときの手続きは銀行と警察にご確認ください。

参考文献

ページは紙面に印刷された番号です (印刷の無いものは PDF のページ)。

1. 独立行政法人情報処理推進機構 (IPA). 情報セキュリティ10大脅威 2026 解説書 [組織編] (p.17「3位 AIの利用をめぐるサイバーリスク」、p.39-41「10位 ビジネスメール詐欺」). 2026年3月. https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf
2. 独立行政法人情報処理推進機構 (IPA). 情報セキュリティ10大脅威 2026. 2026年1月29日. https://www.ipa.go.jp/security/10threats/10threats2026.html
3. 独立行政法人情報処理推進機構 (IPA). ビジネスメール詐欺(BEC)の特徴と対策 (第二版) (p.17). 2023年2月9日. https://www.ipa.go.jp/security/bec/hjuojm00000037nn-att/000102392.pdf
4. 独立行政法人情報処理推進機構 (IPA). ビジネスメール詐欺 FAQ (Q4・Q7・Q8・Q11). https://www.ipa.go.jp/security/bec/bec_faq.html
5. 独立行政法人情報処理推進機構 (IPA). 社長等をかたる詐欺メールに注意！ -メールの内容には従わずに必要に応じて社内へ報告しましょう-. 2026年3月12日. https://www.ipa.go.jp/security/anshin/attention/2025/mgdayori20260312.html
6. 独立行政法人情報処理推進機構 (IPA). ビジネスメール詐欺「BEC」に関する事例と注意喚起 (第三報) (p.2). 2020年4月27日. https://www.ipa.go.jp/archive/files/000081866.pdf
7. 独立行政法人情報処理推進機構 (IPA). ビジネスメール詐欺(BEC)の詳細事例6 〜国内企業社長になりすまし、グループ企業役員に金銭の支払を要求した事例〜. 2023年4月13日. https://www.ipa.go.jp/security/bec/hjuojm0000003c8r-att/case6.pdf
8. 独立行政法人情報処理推進機構 (IPA). サイバーセキュリティ相談窓口の相談状況［2026年第2四半期（4月～6月）］. 2026年7月22日. https://www.ipa.go.jp/security/support/reports/2026q2outline.html
9. 警察庁. ビジネスメール詐欺に注意！. https://www.npa.go.jp/bureau/cyber/countermeasures/bec.html
10. 警察庁. 法人を対象とした詐欺（ニセ社長詐欺）に注意！. 2026年2月13日. https://www.npa.go.jp/bureau/safetylife/sos47/new-topics/260213/01.html
11. 警察庁. 令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について (コラム「メールを悪用した新たな詐欺手口〜ニセ社長詐欺〜」p.21). 令和8年9月. https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
12. 株式会社ラック. そのメール、本当に社長からですか？企業を狙うメール攻撃「CEO詐欺」とは (LAC WATCH). 2026年1月21日. https://www.lac.co.jp/lacwatch/alert/20260121_004604.html
13. 医療法人社団善衆会. 【ご注意ください】当法人および当法人理事長を装った不審メールについて. 2026年1月7日. https://zenshukai.com/news/news-3480/
14. 医療法人社団 星晶会. 【重要】当法人理事長を装った不審メール（なりすましメール）に関するご注意. 2026年1月7日. https://seishokai-gr.or.jp/news/6172/
15. 朝倉記念病院. 【重要】当医療法人理事長を装った「なりすましメール」に関するご注意. 2026年1月16日. https://asakura.uraume.jp/news/20260116-mail-narisumashi/
16. 一般社団法人 福井県医師会. 理事長・院長や医師会役員、保健所長等を騙るビジネスメール詐欺への注意喚起（再掲載）. 2026年8月27日. https://www.fukui.med.or.jp/news-doctor/news-doctor-15115/
17. 香港特別行政区政府. LCQ9: Combating frauds involving deepfake (保安局長の書面回答). 2024年6月26日. https://www.info.gov.hk/gia/general/202406/26/P2024062600192.htm
18. 厚生労働省 医政局 医療情報担当参事官室. 高性能 AI の悪用リスクを踏まえたサイバーセキュリティ対策の強化について（医療機関等向け注意喚起） (事務連絡、p.3). 令和8年5月27日. https://www.mhlw.go.jp/content/10808000/001705832.pdf
19. 厚生労働省. 令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト. 令和8年6月. https://www.mhlw.go.jp/content/10808000/001716185.pdf
20. 厚生労働省. 医療情報システムの安全管理に関するガイドライン 第7.0版 経営管理編 (3.1 遵守事項⑨、3.2.2). 令和8年6月. https://www.mhlw.go.jp/content/10808000/001716291.pdf
21. 厚生労働省. 医療法施行規則の一部を改正する省令について (産情発0310第2号). 令和5年3月10日. https://www.mhlw.go.jp/content/10808000/001075881.pdf
22. 医療法 第14条の2 (e-Gov 法令検索). https://laws.e-gov.go.jp/law/323AC0000000205
23. 犯罪利用預金口座等に係る資金による被害回復分配金の支払等に関する法律 (振り込め詐欺救済法) 第1条・第2条第3項・第4項・第3条・第8条 (e-Gov 法令検索). https://laws.e-gov.go.jp/law/419AC1000000133
24. 株式会社三菱UFJ銀行. インターネットバンキング（三菱ＵＦＪダイレクト）で振り込みの際、受取人名の確認はできますか。(よくあるご質問、個人のお客さま向け). https://faq01.bk.mufg.jp/faq/show/156?site_domain=default
25. 株式会社三井住友銀行. 振込 (入金口座・受取人名) ヘルプ (SMBCダイレクト). https://www.smbc.co.jp/direct/sousa/help_furikomi/7.html
26. 警察庁. サイバー事案に関する相談窓口 / 都道府県警察の連絡先. https://www.npa.go.jp/bureau/cyber/soudan.html / https://www.npa.go.jp/bureau/cyber/ichiran.html
27. 独立行政法人情報処理推進機構 (IPA). サイバーセキュリティ 相談・届出窓口一覧 (企業組織向けサイバーセキュリティ相談窓口). 2025年4月1日. https://www.ipa.go.jp/security/support/soudan.html