社長は送っていない　それでも「社長からのメール」は届いた　社長騙る詐欺メールの対策方法

「お疲れ様です。
業務上、で臨時の業務連絡グループを作成してください。」

2026年1月29日早朝、あしたの経済新聞宛に届いたこのメールは、一見するとごく普通の業務連絡のように見えた。差出人名には弊社代表の藤沢の氏名が記され、文面も社内で交わされる指示と大きくは変わらない。内容は、臨時の業務連絡用グループを作成し、まだ誰も追加せず、招待リンクかQRコードを返信するよう求めるものだった。

だが、確認は一瞬で終わった。代表本人に照会したところ、「そのメールは送っていない」という回答が返ってきた。

つまりこれは、代表者名を騙ったなりすましメールである。

メールは「正規」でも、指示は「偽物」だった

今回のケースが厄介なのは、メールの技術的な素性に問題がなかった点にある。送信元はHotmailのアドレスで、Microsoftの正規インフラを経由して送信されていた。SPF、DKIM、DMARCといったメール認証もすべて通過しており、サーバー側から見れば「怪しいメール」と判断する材料はほとんどない。

しかし、それはどこから送られてきたかが正しいだけで、誰が送ったかが正しいことを意味しない。

封筒も切手も本物だが、差出人の名前だけが偽物。今回のメールは、まさにその状態だった。

さらに注目すべきは、返信先が送信元とは異なるGmailアドレスに設定されていた点だ。Hotmailから送り、返信はGmailで受け取る。この構図は、フィッシングや業務侵入型詐欺で頻繁に使われる手法である。

「まだ誰も入れるな」という指示の意味

本文中の指示は一見すると細やかだが、実は非常に計算されている。

最初にグループを作らせ、まだ他のメンバーは入れないよう念を押す。そのうえで、招待リンクだけを外部に送らせる。こうしてしまえば、次の段階で「あとから参加する人物」が自然に入り込める環境が整う。

これは連絡ミスではない。社内の連絡導線を、外部の第三者が掌握するための準備段階だ。グループができてしまえば、追加の指示、資料共有、さらなるなりすましが、違和感なく進行する。

詐欺は一通のメールで完結しない。入口を作るところから始まる。

日本語が少し変なのは「雑」ではない

「業務上、で」という不自然な表現に気づいた人もいるだろう。だが、こうした違和感をもって「日本語が下手だから怪しい」と判断するのは、もはや現実的ではない。

現在のなりすましメールは、大量送信と効率を前提に作られている。完璧な日本語は不要で、「多少おかしくても意味が通じる」程度で十分だ。そのほうが、疑わず反応する層だけを選別できる。

詐欺において、日本語の完成度は重要ではない。重要なのは、行動を一歩でも引き出せるかどうかだ。

社長を名乗るのは簡単だが、社長であることは証明できない

今回のメールは、技術的には正規で、文面ももっともらしく、署名には実在の代表者名が使われていた。それでも、送信者は本人ではなかった。

メールという手段は便利だが、信用の根拠にはならない。特に「代表」「社長」「管理者」を名乗るメールほど、確認なしに動くべきではない。

なりすますのは一瞬でできる。しかし、その一瞬を信じてしまった結果の後始末は、長く重い。

あしたの経済新聞は今回の事案を通じて、改めて確認した。
通ってきたメールを信じるのではなく、求められている行動を疑う。
それが、いま最も現実的なセキュリティ対策である。