取引先を装うメールで偽口座に送金してしまったら：やるべきことと、本物の取引先への支払義務

経理部門に、いつもの取引先からメールが届きます。送信者名、ロゴ、署名はいつもと同じです。「銀行を変更したので、今回の代金は新しい口座に振り込んでほしい」とあり、修正済みの請求書が添付されています。会社はそのとおりに送金します。数週間後、本物の取引先から入金を催促する電話があり、初めてそのメールが取引先から送られたものではなかったと分かります。

本ガイドは、送金した側で被害に遭った会社のために書かれています。直ちにすべきこと、保全すべき証拠、本物の取引先に対して支払義務が残るかどうか、そして今後整えるべき支払統制を扱います。被害者がオンラインで騙されて送金した個人の場合は、代わりにオンライン詐欺の被害に遭ったらをご覧ください。

結論

次の3つを、この順に行ってください。第一に、送金元の銀行に連絡し、速やかに被害を申告します。資金は長く留まるほど移動されやすくなりますが、返還されることは誰にも保証できません。第二に、誰かが削除したりリセットしたりする前に、元の証拠、とりわけヘッダーが完全なメールとシステムのログを保全します。第三に、すでに知っている連絡経路で本物の取引先と話し、残っている債務の扱いを取り決めます。

法的根拠 民商法典第315条は、債権者または債権者に代わって受領する権限のある者に弁済するよう定めています。権限のない者への弁済は、債権者が追認したときに有効となります。第316条は、権利者と見える者に善意で行った弁済を有効とします。したがって、犯人の口座への送金は、原則として本物の取引先に対する債務を消滅させません。ただし、損失を誰がどの程度負担するかは、受取口座に関する契約条項、どちらのメールシステムが侵害されたか、そして各当事者が相応の確認を行ったかどうかによって決まります。

1. 被害に気づいた最初の1時間で、会社は何をすべきか

次の順で進め、1人が各手順の時刻を記録してください。

1. 送金元の銀行に電話します。 法人口座の担当者と、銀行の不正被害の通報窓口の両方に連絡してください。送金先の口座番号、口座名義、受取銀行、日時、金額、取引の参照番号を伝え、受取銀行に連絡して資金を凍結するよう依頼します。海外送金の場合は、銀行間送金ネットワークを通じた資金の返還依頼（リコール）を求めます。対応した担当者の名前と受付番号は毎回控えてください。
2. その取引先への未払いの支払をすべて止め、システム上の取引先口座情報の変更も止めます。同時期に、ほかの取引先から口座変更の連絡が来ていないか確認します。
3. 契約書または従来の取引先登録にある電話番号で、本物の取引先に連絡します。 口座変更の通知に書かれていた番号やメールアドレスは、決して使わないでください。
4. 犯人のメールに返信せず、何も削除しないでください。 返信すると犯人に気づかれ、資金の移動を急がせることになります。
5. 捜査官に被害を申告します。 会社は法人として被害者ですので、権限のある取締役本人が出向くか、書面で委任する必要があります。会社の登記事項証明書（会社証明書）、委任状、権限のある取締役と受任者の身分証、第2節の証拠を準備してください。先にオンラインで届け出て受理番号を早く取得し、その後、書類一式を持って出頭し供述する方法も有効です。
6. 保険会社に連絡します。 不正行為やサイバー被害を補償しうる保険に加入している場合です。保険には、通知期限や証拠保全の条件が定められていることがよくあります。
7. IT部門に先にシステムのログを保全させ、そのうえで穴をふさぎます。 たとえば、パスワードの変更、二要素認証の有効化、犯人が設定した可能性のある自動転送ルールの確認です。

「資金を追跡する」と持ちかけ、前払いを求めて結果を保証する業者には注意してください。そのような保証は誰にもできません。

2. どの証拠を、どう保全すれば使えるか

良い証拠とは、時系列に並べられる元の資料です。スクリーンショットだけでは足りないことが多くあります。

次に、1ページのタイムラインを作成します。直近の本物の請求書、口座変更のメール、取引先登録の変更、承認、送金、気づいた日、銀行への連絡、被害申告の順に並べます。証拠の保管責任者を1人だけ決め、原本を保管し、弁護士、警察、保険会社それぞれに別の写しを渡してください。

3. 口座変更を通知したのは誰で、承認する権限は誰にあったか

この2つの問いが、取引先との交渉も社内体制の見直しも含め、全体の方向を決めます。

通知した側 口座変更のメールは、通常、次の3つのいずれかの形で届きます。

• 似せたドメイン たとえば1文字だけ綴りが違う、あるいはドメインの末尾が異なる場合です。この場合、取引先のシステムはまったく侵害されておらず、犯人が取引情報を別のところから入手している可能性があります。
• 取引先の本物のメールが侵害された場合 メールは取引先の実際のアドレスから届き、犯人は取引のやり取りを読んで、大きな支払の直前を狙います。
• 自社のメールが侵害された場合 犯人が途中で請求書を書き換えたり、取引先からのメールが従業員の受信箱に届かないようルールを設定したりします。

どの形かによって、どちらの側が損失を防ぎやすかったかという答えが変わります。そのため、結論を出す前に、IT専門家に双方のメールヘッダーとシステムのログを読んでもらってください。また、契約上、取引先側で受取口座の変更を通知する権限がある者が誰かも確認します。

社内の承認側 次の点に答えられるようにしておきます。

• システム上で取引先の口座情報を変更したのは誰か。どの書類を根拠にしたか
• 会社に、口座変更を確認する書面の手順があったか。その手順は省略されたか
• 支払を承認した者は、送金先口座が変わっていることに気づいていたか
• データを変更した者、承認した者、送金を実行した者が同一人物ではないか

この種の事案では、従業員の大半は善意のまま騙されています。経理担当者にすぐ責任を押しつけても事態の収拾に役立たず、社内の情報が途絶えることも少なくありません。理由もなく手順を繰り返し省略しているなど、社内の者の関与が疑われる事情がある場合は、従業員による横領と社内調査に従って別の社内調査として扱ってください。誰が何を承認できるかの定め方は、決裁権限表をご覧ください。

4. 本物の取引先に、なお支払う必要があるか

出発点は第315条です。 弁済は、債権者または債権者に代わって受領する権限のある者に対して行わなければなりません。犯人が通知した口座の名義人は、そのどちらでもありません。したがって、本物の取引先に対する商品代金債務は、原則として消滅しません。取引先が追認した場合は別ですが、実務上はほとんど起こりません。

第316条が適用される範囲は狭いです。 この条文は、「債権の準占有者」にあたる者に善意で弁済した者を保護します。取引先になりすましたメールを送った犯人がこれにあたるかどうかは、争いがありうる問題であり、事実関係によります。この条文によって債務が免れると見込んで計画を立てるべきではありません。

交渉における比重を変える要素

• 契約条項 契約書や注文書に受取口座が明記されているか。口座変更の通知方法はどう定められているか（たとえば、権限のある者が署名した書面であること）。リスクをどちらが負うかを定めた条項があるか。
• どちらのシステムが侵害されたか メールが取引先の実際のアドレスから届いた場合や、取引先がシステムの侵害を知りながら顧客に警告しなかった場合は、自社が侵害された場合とは比重が異なります。
• 気づくべきだった警告サイン 新しい口座が個人名義や別の会社名義である、取引先がタイの会社なのに口座が海外にある、急がせる・秘密にするよう求める、大きな支払の直前に変更を通知してくる、といった点です。
• 会社が自社の手順に従ったか 手順を定めていながら守らなかった場合、交渉上の立場は弱くなります。

実務で見られる解決策 は、全額を支払ったうえで犯人や保険会社に対して追及する、合意により損失を分担する、残額を分割で支払うなど、さまざまです。どの方法をとる場合でも、書面による合意にしてください。合意する支払額、あとから追跡できた資金を誰が受け取るか、刑事事件への協力、残りの請求権の放棄を記載します。

してはならないのは、取引先に書面で回答せず、黙って支払わないことです。履行遅滞とみなされたり、遅延利息が課されたり、納品が止められたり、契約を解除されたりするおそれがあり、交渉も難しくなります。

逆の場合、つまり自社が売主で、顧客が犯人に送金してしまった場合は、同じ原則により、多くは顧客に対して代金を請求できます。ただし、まず自社のメールが侵害されていないかを確認してください。顧客が最初に持ち出す論点になるからです。

5. 過度な期待を持たずに、銀行・警察・取引先とどう連携するか

銀行 送金元の銀行は、受取銀行に依頼を送ることしかできません。資金を凍結できるかどうかは、資金がまだ残っているか、受取銀行の法令上の手続によります。海外送金の場合は、その国の法律にも左右されます。銀行の回答は、毎回書面で求めてください。

刑事手続 被害申告により、資金の流れの追跡や、財産の差押え・凍結への道が開けます。しかし、資金が会社に戻るには、手続に従った命令や判決を経なければなりません。会社側の窓口担当者を1人に決め、事件番号と担当捜査官の氏名を証拠と同じファイルに保管してください。

政府機関の事例 特別捜査局（DSI）は2025年10月10日、商品代金を受け取るための偽会社30社の設立に関与した容疑者を逮捕したと発表しました。発表によれば、被害者は受取口座の変更を知らせる偽メールを受け取り、商品代金をタイとアイルランドにある偽会社の口座に送金しました。報じられた被害額は約360万バーツです。この事例は事件の類型を示すものであり、現在このような事件が増えているか減っているかを示すものではありません。

本物の取引先 すでに知っている経路で話してください。双方が自社のメールシステムを点検し、関連するメールヘッダーを交換し、事実について共同の記録を作ることを提案します。この段階での協力は、金銭面の交渉をはるかに進めやすくすることが多くあります。

資金が戻ることは、銀行、警察、弁護士のいずれも保証できません。 できるのは、迅速な対応と十分な証拠によって可能性を高め、明確な合意によって残りの損失を抑えることです。

6. 自社のメールが侵害されていた場合、さらに何をすべきか

• 個人情報の観点を評価します。 メールボックスには、通常、顧客、従業員、取引先の個人情報が含まれています。個人情報保護法第37条は、個人情報管理者に対し、侵害を知った時から72時間以内に個人情報保護委員会事務局へ通知するよう定めています。ただし、個人の権利に危険が及ぶおそれがない場合を除きます。手順は情報漏えいが起きたとき：最初の対応にあります。
• 顧客と取引先に注意を促します。 自社の受取口座は変わっていないと伝えてください。メールボックスに侵入した犯人が、さらに偽の請求書を顧客に送るおそれがあるためです。
• 修正する前にログを保全します。 ログを保全しないままシステム全体をリセットすると、犯人がいつ侵入し、何を見たかを証明できなくなります。

7. 口座変更について、どのような確認手順を設けるべきか

優れた手順は複雑である必要はありませんが、「緊急」の案件を例外とせず、毎回必ず実施しなければなりません。

• 折り返し電話で確認します。 契約書または従来の取引先登録にある番号にのみかけ、変更を求めるメールや書面に書かれた番号にはかけません。誰が、誰と、いつ話したかを記録します。
• 取引先からの確認書類 権限のある者が署名した口座変更の通知書と、口座名義が取引先の法人名と一致することを示す銀行の書類を求めます。個人名義の口座や、国内の取引先なのに海外の口座である場合は、警告サインとして扱います。
• 職務の分離 取引先データを変更する者、支払を承認する者、銀行システムで送金を実行する者は、同一人物にしないでください。インターネットバンキングも、2名の承認が必要な設定にします。
• 支払前の待機期間 変更された口座は、最初の支払の前に確認をすべて終える必要があります。少額のテスト送金は確認になりません。着金したと返事をする者が犯人である可能性があるためです。
• 変更の報告 経営層が、毎月、変更された取引先口座の一覧を確認できるようにします。
• 契約条項 契約書や注文書に受取口座を明記し、口座の変更は権限のある者が署名した書面で行い、折り返し電話による確認を経ること、メールだけの通知では受取口座は変更されないことを定めます。
• 従業員が知っておくべき警告サイン 急がせる、秘密にするよう求める、新しい連絡担当者、わずかに綴りの違うドメイン、大きな支払の直前の変更通知です。
• メールシステム IT部門に二要素認証を有効にさせ、新しいメール転送ルールが作成されたときに通知が出るよう設定し、社外から届いたメールにラベルを付けます。

8. チェックリスト

被害に気づいたとき

• 送金元の銀行に電話し、担当者の氏名と受付番号を控える
• 未払いの支払と取引先登録の変更を止める
• 元の契約書にある番号で、本物の取引先に連絡する
• 権限のある取締役または受任者が被害を申告する
• 保険契約の定めに従って保険会社に連絡する

証拠

• ヘッダーが完全な元のメールを書き出す（偽のメールと、過去の本物のメールの両方）
• 請求書、注文書、契約書、送金の証拠
• 取引先登録の変更履歴と承認記録
• パスワードをリセットする前のメールのログイン記録
• 1ページのタイムラインと、証拠の保管責任者1名

本物の取引先との関係

• 受取口座と変更の通知方法に関する契約条項を読む
• どちらのメールシステムが侵害されたかを共同で調べる
• 取引先には書面で回答し、黙らない
• あとから追跡できた資金の扱いを含め、合意を書面にする

再発防止

• 口座変更を求められるたびに、折り返し電話で確認する
• データを変更する者、承認する者、送金する者を分ける
• 契約書と注文書に口座変更の条項を入れる
• 警告サインについて従業員に研修を行う

関連ガイド

• オンライン詐欺の被害に遭ったら — 被害者が個人の場合
• 従業員による横領と社内調査 — 社内の者の関与が疑われるとき
• 決裁権限表 — 支払とデータ変更を承認できる者
• 情報漏えいが起きたとき：最初の対応 — 会社のメールが侵害されたとき
• 事業者向けPDPAチェックリスト — 事故が起きる前に整えておくべき体制
• 債権回収、財産調査、強制執行 — 判決を得たあと
• サービス：契約書・ビジネス文書 · 顧問弁護士 · PDPA

犯人の口座への送金は、原則として本物の取引先に対する債務を消滅させません。会社が管理できるのは、通報の速さ、証拠の完全さ、取引先との書面による合意、そして毎回実施する折り返し電話による確認手順です。

当事務所は、証拠とタイムラインの整理、銀行宛の書面や被害申告の添付書類の作成、本物の取引先との交渉と合意書の作成、そして口座変更の確認手順を契約書や支払マニュアルに盛り込む作業をお手伝いします。初回相談をご希望の方は、+66 92 254 2045 までお電話いただくか、詳細をお送りください。あわせて顧問弁護士もご覧ください。

本ガイドはスワンワラ法律事務所（コンケン県の法律事務所、1986年設立）が発行したものです。一般的な情報であり、特定の事項に関する法的助言ではありません。