無料会員登録
Microsoft Teamsは、社内外のコミュニケーションや業務連絡に広く使われています。しかし、メールだけでなくTeamsのチャット上でも、社長や役員になりすまして従業員へ接触し、送金や認証情報の提出を求める詐欺が発生する可能性があります。
こうした手口は、ビジネスメール詐欺（BEC）の派生として考えられます。攻撃者は、実在する経営者や役員と同じ表示名を使い、「至急」「極秘」「他の人には言わないで」といった言葉で判断を急がせ、通常の確認・承認フローを飛ばそうとします。
特に注意したいのは、Teamsでは表示名が社長や役員本人と同じでも、それだけでは本人確認にならないことです。外部ユーザーや別テナントのアカウントでも、表示名を似せることで本人のように見せかけることがあります。
そこで本記事では、Teams CEO詐欺の仕組みや典型的な手口、偽の社長・役員アカウントを見分けるポイント、チャットを受信した場合の初動、認証情報や送金が関係した場合の対応、企業が取り組むべき予防策、必要に応じてフォレンジック調査で確認できる内容までを解説します。
Teams CEO詐欺とは
Teams CEO詐欺とは、攻撃者が社長・役員・経営層などになりすまし、Microsoft Teamsのチャット機能を使って従業員へ不正な指示を出す詐欺です。
従来のBECではメールが使われるケースが中心でしたが、Teamsなどのチャットツールでも同様に、権威や緊急性を利用して相手を信用させる手口が成立します。
銀行振込・送金を実行させる
「急ぎでこの口座へ振り込んでほしい」「取締役会案件なので至急対応してほしい」などと指示し、経理・財務担当者へ送金させる手口があります。
通常の決裁フローを飛ばすよう求められる場合は特に注意が必要です。
取引先の振込先口座を変更させる
「取引先の口座が変更になった」「今回だけ別口座へ支払ってほしい」などと偽り、攻撃者の管理する口座へ送金させるケースもあります。
Microsoft 365などの認証情報を提出させる
「確認のためTeamsのアカウント情報を送ってほしい」「ログイン確認が必要」などとして、ID、パスワード、MFAコードなどを求める手口もあります。
QRコードや外部サービスへ誘導する
Teams上からLINEグループへの移動や、QRコードを使った外部サービスへの誘導を行い、その後のやり取りを社内監視の届きにくい場所へ移すことがあります。
機密情報や社内データを送信させる
役員を装って「この資料をすぐ送ってほしい」「契約書や顧客一覧を共有してほしい」と依頼し、社内情報を取得することも考えられます。
Teams CEO詐欺の典型的な手口
Teams CEO詐欺では、単に社長名を使うだけでなく、心理的な圧力や通常とは異なる連絡経路を組み合わせることで、従業員を急いで行動させます。
実在する社長・役員と同じ表示名を使う
攻撃者は、会社Webサイト、SNS、プレスリリースなどから役員名を調べ、同じ表示名や似たプロフィールを作ることがあります。
表示名だけを見ると本人のように見えるため、担当者が信用してしまう可能性があります。
「至急」「極秘」などと対応を急がせる
「至急対応」「極秘案件」「あなたしか頼めない」「他の人には言わないで」などの表現を使い、相手が上司や同僚へ相談しにくい状況を作ります。
通常の社内手続きを飛ばすよう求める
通常であれば稟議や二者承認が必要な送金でも、「今回は特別」「時間がない」と説明し、例外的に処理させようとします。
外部チャット・QRコードへ移動させる
TeamsからLINEや別のチャットサービスへ移動させることで、社内の監視や記録から外れた環境で詐欺を継続する場合があります。
会話を続けながら要求内容をエスカレートさせる
最初は簡単な返信や確認だけを求め、相手が応答すると、送金、認証情報、機密情報などより重大な要求へ移行することがあります。
「社長名だから信用する」のではなく、連絡元・外部表示・所属ドメイン・依頼内容・通常の業務フローとの違いを確認することが重要です。
Teams CEO詐欺を見分けるポイント
Teams上のなりすましは、表示名だけでは判断できません。相手の所属や依頼内容を複数の観点から確認してください。
「外部」「組織外」の表示を確認する
Teams上で名前の近くに「外部」「組織外」などの表示がある場合は、社内アカウントではない可能性があります。
社長や役員を名乗っていても、外部ユーザーであれば、その場で依頼を実行せず本人確認を優先してください。
相手のメールアドレス・UPN・所属を確認する
表示名ではなく、相手のプロフィールやアカウント情報を確認します。
会社の正式なドメインと異なる、フリーメール、似た綴りのドメインなどが使われている場合は注意が必要です。
送金・認証情報・QRコード要求がないか確認する
チャットだけで銀行振込、口座変更、パスワード、MFAコード、QRコード読み取りなどを求める場合は、通常業務から外れていないか確認します。
「至急」「内密」など心理的圧力を確認する
緊急性や秘匿性を強調し、他の人への相談を止めようとする依頼はCEO詐欺で使われやすい特徴です。
通常の決裁・連絡経路と異なっていないか確認する
普段ならメール、稟議システム、経理システムなどを使う手続きを、突然Teamsだけで完結させようとしていないか確認します。
Teamsで社長・役員を名乗る不審なチャットを受信した場合の対処法
不審なTeamsチャットを受信した場合は、その場で返信・承認せず、別の正規経路で本人確認を行います。
返信・リアクション・招待承認をしない
不審な外部アカウントからチャット要求が届いた場合は、まず応答せず内容を確認します。
簡単な返信でも、攻撃者に「このアカウントは利用されている」「反応する担当者である」と伝わる可能性があります。
リンク・QRコード・添付ファイルを開かない
Teams上のURL、QRコード、添付ファイルなどをそのまま開かないでください。
Microsoft 365のログインページに見えるサイトでも、認証情報を盗むフィッシングサイトの可能性があります。
社内の正規連絡先から本人確認する
チャットに書かれた電話番号やメールアドレスではなく、社内ディレクトリ、既知の電話番号、秘書、対面など別の経路で本人確認します。
「Teamsでこの指示を出しましたか」と確認するだけでも、なりすましを見抜ける場合があります。
画面・アカウント情報・メッセージを保存する
ブロックや削除を行う前に、可能な範囲で証跡を保存します。
- チャット画面
- 相手の表示名
- メールアドレス・UPN
- 「外部」「組織外」表示
- 受信日時
- メッセージ原文
- リンクURL
- QRコード
情シス・SOC・CSIRTへ報告する
同じ攻撃者が他の従業員にも接触している可能性があるため、自分だけで処理せず組織へ報告します。
- 返信・承認をしないようにします。
- リンク・QRコード・添付を開きません。
- 社内ディレクトリなど別経路で本人確認します。
- チャット画面やアカウント情報を保存します。
- 情シス・SOC・CSIRTへ報告します。
- 組織内で同様のメッセージが届いていないか確認します。
Teams CEO詐欺で認証情報を渡してしまった場合の対処法
Microsoft 365のID・パスワードやMFAコードを渡してしまった場合は、不正ログインが発生する可能性を前提に封じ込めます。
パスワードを変更する
認証情報を入力・共有した場合は、正規のMicrosoft 365環境から速やかにパスワードを変更します。
既存セッションを失効させる
パスワード変更だけでは、すでに発行済みのセッションやトークンが残っている場合があります。
管理者と連携し、既存セッションを失効させます。
MFA登録情報を確認する
認証アプリ、電話番号、パスキーなど、身に覚えのない認証方法が追加されていないか確認します。
Entra IDのサインインログを確認する
不審なIP、地域、端末、時刻からのログインがないか確認します。
OAuth・メール転送設定を確認する
攻撃者がOAuthアプリへ権限を付与したり、メール転送ルールを追加したりすると、パスワード変更後も情報へアクセスされる場合があります。
認証情報を渡した場合は、パスワード変更だけで終わらせず、セッション・MFA・OAuth・メール設定まで確認することが重要です。
Teams CEO詐欺で送金・口座変更をしてしまった場合の対処法
すでに送金や振込先変更を行っている場合は、セキュリティ調査より先に金融被害の拡大防止を優先します。
取引銀行へ至急連絡する
振込取消や組戻しが可能か、取引銀行の公式窓口へすぐ相談します。
時間が経つほど資金移動が進み、回収が難しくなる可能性があります。
財務・経理・経営層へ即時エスカレーションする
個人判断で処理せず、財務、経理、経営層、法務、CSIRTなどを同時に巻き込みます。
送金先・取引情報を保存する
口座番号、名義、金額、取引日時、依頼メッセージ、承認記録などを保存します。
法務・警察相談も視野に入れる
実際の金銭被害がある場合は、銀行対応と並行して法務や警察への相談も検討します。
企業がTeams CEO詐欺を防ぐための対策
Teams CEO詐欺は、従業員個人の注意だけでは防ぎきれません。Teamsの外部アクセス設定と送金・口座変更の業務統制を組み合わせる必要があります。
Teamsの外部アクセスを必要最小限にする
業務上不要な外部チャットを許可している場合は、Teams管理センターの外部アクセス設定を見直します。
許可ドメインを限定する
外部連携が必要な場合でも、必要な取引先ドメインだけを許可する運用を検討します。
送金・口座変更に二者承認を設ける
チャットやメールの指示だけで送金や振込先変更を確定しないルールを設けます。
高額送金、取引先口座変更、新規振込先登録などは、複数人で確認する仕組みが重要です。
別経路でのコールバック確認を必須にする
役員や取引先から送金指示を受けた場合でも、登録済みの電話番号など別の経路で確認します。
役員・経理・秘書を対象に訓練する
特に狙われやすい経理、財務、秘書、購買部門などを対象に、実際のTeams画面を使った訓練を行います。
「表示名ではなく外部表示・UPNを見る」「緊急時でも承認ルールを飛ばさない」という判断を定着させることが重要です。
Teams CEO詐欺でやってはいけないこと
表示名だけで本人と判断する
Teamsの表示名は本人確認の根拠にはなりません。外部表示、UPN、所属ドメインなどを確認します。
「至急」を理由に承認フローを飛ばす
緊急案件であっても、送金や口座変更の既定ルールを省略しないようにしてください。
チャットでパスワード・MFAコードを送る
正規の社内担当者であっても、パスワードやMFAコードをチャットで共有する運用は避けるべきです。
相手が提示した連絡先で本人確認する
チャット内に書かれた電話番号へ連絡すると、攻撃者自身につながる可能性があります。
社内ディレクトリなど既知の連絡先を使ってください。
証拠を残さずチャットを削除する
同一攻撃の横展開確認や不正アクセス調査に必要になる可能性があるため、先に画面やメッセージ情報を保存します。
Teams CEO詐欺の被害範囲をフォレンジック調査で確認する方法
不審な外部チャットを受信しただけで、返信・リンククリック・認証情報入力・送金などをしていない場合は、必ずしも専門的なフォレンジック調査が必要になるわけではありません。
不審なTeamsアカウントとのやり取り
チャットの日時、相手のアカウント情報、外部表示、メッセージ内容などを整理し、同じ攻撃が他の従業員にも行われていないか確認します。
Microsoft 365への不正サインイン
Entra IDのサインインログなどから、不審なIP、地域、端末、User-Agentなどがないか確認します。
メール転送・OAuth・MFA変更の有無
認証情報が漏えいした場合、攻撃者がメール転送規則、OAuthアプリ、認証方法などを変更している可能性があります。
Teams以外への横展開
侵害されたアカウントを利用して、Outlook、SharePoint、OneDrive、他のTeamsユーザーなどへ横展開していないか確認します。
認証情報・機密情報が流出した可能性
どのファイルが共有・ダウンロードされたのか、メールやクラウドデータへアクセスされた可能性があるのかなどを調査対象にできます。
認証情報を渡した・送金した場合はフォレンジック調査会社に相談する
不審なTeamsチャットを受信しただけで、その場で対応せず本人確認によって詐欺と判断できた場合は、ブロック・報告・組織内周知で対応できるケースもあります。
一方、Microsoft 365のID・パスワードやMFAコードを渡した、QRコードから外部サイトへログインした、機密ファイルを送信した、送金・口座変更を実行した場合は、単なるチャット詐欺ではなくアカウント侵害や情報漏えいまで確認する必要があります。
特に、アカウント設定を自己判断で変更したり、チャット履歴や不審なメールを削除したりすると、どのアカウントから、いつアクセスされ、どのデータへ到達し、他の従業員へ横展開した可能性があるのかを確認する痕跡が失われる場合があります。
不審な兆候を確認した場合、フォレンジック調査会社への相談をお勧めします。フォレンジック調査会社では、TeamsやMicrosoft 365のログ、端末の利用履歴、認証情報、メール、クラウド監査ログなどを確認し、不正サインインの有無、侵入後に行われた操作、情報流出や横展開の可能性を詳しく調査できます。
こうした専門的な調査を通じて被害範囲を整理できれば、どのアカウントを封じ込めるべきか、どの取引先や従業員へ注意喚起が必要か、法務・金融機関・警察への説明にどの証拠を残すべきか判断しやすくなります。
おすすめのフォレンジック調査会社
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
Teams CEO詐欺は、社長・役員などの実在人物になりすました外部アカウントがMicrosoft Teamsで従業員へ接触し、送金、振込先変更、認証情報、機密情報などを要求するBECの一種です。
Teamsでは表示名だけで本人確認を行うことはできません。「外部」「組織外」表示、相手のUPN・所属ドメイン、依頼内容、通常の承認フローとの違いを確認することが重要です。
不審なチャットを受信した場合は、返信やリンククリックをせず、社内ディレクトリなど別の正規経路から役員本人や担当部署へ確認します。あわせて、チャット画面やアカウント情報を保存し、情シス・SOC・CSIRTへ報告してください。
認証情報を渡した場合は、パスワード変更だけでなく、既存セッション、MFA、OAuth、メール転送設定、Entra IDサインインログまで確認する必要があります。送金してしまった場合は、金融機関への連絡と組織内エスカレーションを最優先に進めます。
また、不正ログイン、メールやクラウドへのアクセス、他の従業員への横展開が疑われる場合は、必要に応じてフォレンジック調査でTeams・Microsoft 365・端末ログを確認し、侵入経路や情報流出の有無を明らかにすることが重要です。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
