迷惑メール・BEC詐欺の被害実態【2026年最新統計】｜被害額・件数と中小企業の対策

受信メールの42%が悪性――届くメールの半分近くが攻撃

デジタルアーツが2025年3月に公表した調査では、国内818組織の受信メール約4.6億通（2024年8月〜2025年2月）を分析した結果、42%が悪性メールに分類されました。悪性メールのうち91%はフィッシングメールです。年末商戦期にあたる2024年12月には悪性メールの割合が59%に達し、正常なメールの数を上回りました。

「迷惑メールはフィルターが振り分けてくれる」という前提はすでに崩れています。届くメールの半分近くが攻撃である以上、1通でもすり抜ければ被害につながる構造です。フィルターを通過した攻撃メールを従業員が開くかどうかが、被害の分かれ目になっています。

フィッシング報告は年間245万件で過去最多を更新

フィッシング対策協議会によると、2025年の年間フィッシング報告件数は2,454,297件で、前年の約1.43倍。過去最多を大きく更新しました。月次でも2025年3月に約25万件を記録するなど、高止まりが続いています。悪用されたブランドは229に及び、クレジットカード・金融系に加えて証券会社をかたる事例が急増しました。

実際の被害も拡大しています。警察庁の公表では、2025年上半期のインターネットバンキングに係る不正送金は2,593件・被害総額約42億2,400万円。前年同期比で約7割増、上半期として過去最悪ペースです。手口の約9割がフィッシングを起点としています。

法人被害の急増は特に深刻です。法人の不正送金被害額は2025年上半期だけで22億7,500万円となり、2024年通年（11億2,600万円）をわずか半年で2倍以上上回りました。攻撃の照準が個人から法人へ移っていることを示す数字です。

BEC詐欺の被害額――米国で年間約4,600億円、1件平均1,200万円超

迷惑メールの中でも企業に最も大きな金銭被害をもたらすのがBEC（Business Email Compromise：ビジネスメール詐欺）です。経営者や取引先になりすまし、送金指示や請求書の変更を装って口座に振り込ませる手口で、FBIのインターネット犯罪苦情センター（IC3）が2026年に公表した2025年年次報告書では次の数字が示されています。

サイバー犯罪全体の被害額は2025年に208.8億ドル（前年比26%増）に達し、BECは投資詐欺に次ぐ第2位の被害額です。IPAの「情報セキュリティ10大脅威 2026」でも、BECは組織向け脅威に9年連続でランクインしており、一過性の流行ではなく定着した脅威と位置づけられています。

日本でも頻発――1社で最大11億円流出、CEO詐欺は6,000組織超に

「BECは海外の話」ではありません。2025年後半から2026年にかけて、国内で被害の公表が相次いでいます。

上場企業でも億単位の被害

2026年4月、株式会社はてなは不正な送金指示に起因する資金流出を公表しました。従業員アカウントを起点に同社口座から外部へ送金され、被害額は最大約11億円。2025年後半以降、上場企業関連だけで6社が同種の被害を公表しており、判明分の被害総額は約15億円に上ります。

社長をかたる「CEO詐欺」が中小企業を直撃

2025年12月からは、社長の名前でメールを送り「LINEグループを作ったので参加してほしい」とチャットへ誘導する手口が急増しました。トレンドマイクロは2026年2月時点で6,000を超える国内の企業・組織への偽メール送信を確認しており、約150社が注意喚起を公表、確認されただけで6億円超の被害が出ています。実際の被害例は次の通りです。

この手口の厄介な点は、メール本文を最小限にしてチャットへ誘導するため、添付ファイル検査やURLフィルターなど従来のメールセキュリティで検知しにくいことです。生成AIの普及で日本語の文面も自然になり、「不自然な日本語で見抜く」判別法は通用しなくなっています。

なぜ中小企業が狙われるのか

攻撃側から見ると、中小企業は「送金権限が少人数に集中し、確認プロセスが人に依存している」組織です。具体的には次の弱点が突かれます。

• 経理担当者が1〜2名で、社長の指示を疑いにくい・確認相手がいない
• 送金前の別経路確認（電話・対面）がルール化されていない、または形骸化している
• メールアカウントに多要素認証がなく、乗っ取りから取引メールを盗み見される
• 取引先の口座変更依頼を、メールだけで受け付けてしまう

前述のCEO詐欺の被害企業も、数千万円規模の送金が担当者の判断だけで実行されています。金額の大小ではなく、「指示の真正性を確認する仕組みがあるか」が被害の有無を分けています。

中小企業が今すぐ打つべき対策

BEC・フィッシングの対策は、技術・プロセス・人の3つを組み合わせて初めて機能します。優先度の高い順に整理します。

⓪と①は費用ゼロで即日始められます。特に①は、攻撃者がどれだけ精巧なメールを作っても「送金前に電話で確認する」というルールは突破できません。一方で、ルールは作っただけでは形骸化します。④の訓練で「実際に騙されかける体験」をさせることが、ルールを守る動機づけとして機能します。

設定手順：社長名をかたる外部メールをブロックする

前述のCEO詐欺は「表示名＝社長の氏名、送信元＝社外の無関係なドメイン」という構造が共通しています。この組み合わせを機械的に弾けば、手口の入口を直接塞げます。主要なメール環境での設定方法は次の通りです。

登録時は氏名の表記ゆれを網羅してください。漢字フルネームだけでなく、姓のみ、ローマ字（Taro Yamada / YAMADA Taro）、姓＋役職（山田社長）など、攻撃者が使いそうなパターンを条件に加えます。役員・経理責任者の名前も同様に登録すると効果が上がります。

運用上の注意点は3つです。第一に、社長本人が私用アドレスやスマートフォンから業務メールを送ると誤検知になるため、導入と同時に「業務連絡は社用アドレス以外から送らない」と社内に宣言してもらうこと。この宣言自体が「社外ドメインから届いた社長名のメールは偽物」という判断基準になり、対策として機能します。第二に、同姓同名の取引先担当者がいる場合は隔離ではなく警告文挿入から始めること。第三に、この設定で防げるのは表示名のなりすましだけで、取引先の正規アカウントが乗っ取られた型のBECやチャット上で完結する詐欺には効きません。送金前の別経路確認（①）は引き続き必須です。

被害に気づいたときの初動

誤って送金してしまった場合、時間との勝負です。次の順で動いてください。

1. 送金先の金融機関と自社の金融機関へ即時連絡し、組戻し（送金の取り消し）を依頼する。海外送金の場合は特に、数時間の差で回収可能性が大きく変わる
2. 警察（サイバー犯罪相談窓口・#9110）へ通報する。振り込め詐欺救済法に基づく口座凍結につながる場合がある
3. 不審メールの開封・添付ファイル実行の場合は、端末をネットワークから切断し、セキュリティソフトでスキャンする
4. 経緯を隠さず社内で共有し、同種メールが他の従業員に届いていないか確認する

よくある質問