ビジネスメール詐欺（BEC）の対策｜手口・見分け方・初動を解説

結論：ビジネスメール詐欺の対策は、送金前の別経路での確認と承認ルールが最後の砦

ビジネスメール詐欺（BEC：Business E-mail Compromise）とは、取引先や経営者になりすました偽メールで従業員をだまし、攻撃者の用意した口座へ送金させる詐欺です。警察庁は、振込先が海外の口座であることが多く、一度送金すると回収は非常に困難だと注意しています。

対策は大きく3つに分かれます。①送金のルール（メール以外の手段での確認と、複数人による承認）、②メールアカウントを乗っ取られないための技術的対策、③だまされたときに最初に動く手順です。マルウェアも偽サイトも使わず文面だけでだますBECは、ウイルス対策ソフトや迷惑メールフィルタでは見つけにくいため、中心になるのは①です。

この記事では、まず手口の種類と見分け方、国内の実態調査と事例を確認し、そのうえで組織として決めておく送金手続きと技術的対策、被害に遭ったときの動き方の順に整理します。

メールのなりすましをAIでどこまで見抜けるかは、フィッシング対策にAIを使う方法で解説しています。

関連記事AIセキュリティ対策で今すぐできることは？

ビジネスメール詐欺（BEC）とは：手口の種類と攻撃の流れ

IPA（情報処理推進機構）は、ビジネスメール詐欺を「巧妙なだましの手口を駆使した偽のメールを企業組織に送り付け、従業員をだまして攻撃者の用意した口座へ送金させる詐欺の手口」と定義し、特定の企業組織を標的として行われる点を強調しています。

出典：IPA「企業組織を狙う攻撃メールの手口とその対策」（2026年8月3日）https://www.ipa.go.jp/security/support/rcu1hd0000019vmo-att/20260803_1.pdf

攻撃の流れ

典型的な流れは、メールのやり取りを盗み見る、取引先や経営者になりすます、偽のメールで口座変更や送金を指示する、攻撃者の口座へ送金させる、という順です。各段階に別々の対策があり、IPAは多層防御の考え方で重ねることを求めています。

手口の種類：IPAの2タイプと5タイプ

IPAは代表的な手口を2タイプに整理しています。IPAの企業組織向けサイバーセキュリティ相談窓口に寄せられる相談では、海外の取引先になりすましたタイプ1が多くを占めると記載されています。

なりすまし方も、IPAは2通りに分けています。なりすます人物のメールアカウントを乗っ取って正規アカウントから送る方法と、組織のドメインによく似た別のドメインを取得して送る方法です。

IPAは、この2タイプを含めて、全体を5つのタイプに分類しています。JPCERT/CC は2020年の報告書で、この5タイプを使って国内の事案を分類しました。

タイプ4は、依頼する人が社内の人でも取引先の担当者でもないため、見落としやすい型です。「社長から指示を受けた弁護士」のように第三者が間に入る依頼でも、送金の依頼は同じ確認ルール（名刺やアドレス帳の連絡先に、メール以外の手段で確認する）に載せます。タイプ5は、その場で送金させるのではなく、後の詐欺に使う従業員の情報を集める準備段階にあたります。

出典：JPCERT/CC「ビジネスメール詐欺の実態調査報告書」（2020年3月25日）https://www.jpcert.or.jp/research/20200325_BEC-survey.pdf

フィッシング・標的型攻撃メールとの違い

どれも攻撃メールですが、狙う相手も目的も違います。IPAの整理をもとに表にしました。

両者はつながっています。IPAは、フィッシングでメールアカウントの認証情報を盗まれると、取引先とのメールを盗み見られ、BECにつながると説明しています。BECの対策では、メールアカウントを守ることが前提になります。

偽メールの見分け方：確認する点と、見分けられない場合の考え方

経理・総務の担当者が、届いたメールを見て最初に確認する点を、IPA・警察庁・JPCERT/CC の整理から4つにまとめました。

調査から分かった「見抜くための勘所」

JPCERT/CC は、国内組織から集めた事案をもとに、BECに関係するメールを見抜くための勘所を次のように挙げています。

報告書によると、偽装された請求書の添付ファイルはPDFが9割を占め、作成日時のタイムゾーンが関係国と異なっていることもありました。口座変更には「年次監査を受けていて口座が使えない」「銀行の吸収合併による」といった、もっともらしい理由が添えられることが多いとされています。いずれも一見正当に見えるため、理由の説得力では判断できません。

偽のメールアドレスの作り方と、同報先の細工

IPAは、J-CSIP（サイバー情報共有イニシアティブ）に参加する組織で2015年から2016年に起きた4件の事例をもとに、攻撃者が使う「メールアドレスの見た目」によるなりすましの手口を整理しています。公開は2017年ですが、今も確認の手がかりになります。

最後の点は重要です。IPAは、詐称用ドメインを使われた場合、「フリーメールからのメールに警告を付ける」「SPF検証を行う」といった一般的なシステム対策は効果がないとして、受信者がメールアドレスのドメイン名の異常に気づくことが重要になると述べています。返信するときは、「返信」ボタンではなく「転送」を選んで正しいメールアドレスを入力するよう、IPAの資料に引用されたFBI IC3の対策に載っています。

また、同じ資料に引用されたIC3の対策には、「内密にしてほしい」「迅速に動いてほしい」という要求にはBECを疑う、という項目があります。経営者を名乗って口止めをする依頼は、この典型です。

出典：IPA「ビジネスメール詐欺「BEC」に関する事例と注意喚起 ～サイバー情報共有イニシアティブ（J-CSIP）の活動より～」（2017年4月3日）https://www.ipa.go.jp/archive/files/000058478.pdf

見分けられないケースがある

取引先の正規アカウントが乗っ取られている場合は、やり取りの途中に自然に割り込むため、受信者は不正に気づきにくいとIPAは述べています。JPCERT/CC の調査でも、被害を避けられた事案では、メールのやり取りの中で不審な点に気づいた時点で、電話やメッセージアプリなどメール以外の手段で相手に確認していました。文面の違和感を探すことより、送金先の変更や急ぎの依頼は例外なく別の経路で確認するルールを先に決めておく方が確実です。

国内の被害の実態と事例

国内での位置づけ：IPA 情報セキュリティ10大脅威

IPAの「情報セキュリティ10大脅威 2026」（2026年1月29日決定）の組織向け脅威では、「ビジネスメール詐欺」は10位でした。2018年に初めて選ばれてから、9年連続9回目の選出です。順位は上位ではありませんが、毎年選ばれ続けていることから、国内の組織にとって継続して備える脅威だと読めます。

出典：IPA「情報セキュリティ10大脅威 2026」https://www.ipa.go.jp/security/10threats/10threats2026.html

JPCERT/CC の実態調査から分かること

JPCERT/CC は2019年7月から11月にかけて、日本貿易会ISACや石油化学工業協会などの協力を得て、未遂を含むBECの事案を調査しました。12組織から117件の回答を得て、6組織にはヒアリングも行っています。回答組織は限られているため、国内全体の統計ではなく、事案の傾向を示す資料として読む必要があります。

調査からは、手口が単純な1対1のやり取りだけではないことも分かります。グループ会社や仲介業者が間に入った事案では、原因の特定が難しくなり、被害額を誰が負担するかが争点になりました。攻撃者が経営者と秘書の2人になりすまし、前日に「明日CEOから指示がある」と伝えておいてから送金を指示した事案もありました。

さらに、BECが発覚する直前に、利用者がフィッシングサイトにメールの認証情報を入力していた事案や、後からマルウェア感染が見つかった事案がありました。取引内容を攻撃者が把握していた背景に、先に起きていた別のインシデントがあった可能性があります。報告書は、アカウントの侵害や情報漏えいが起きたときは、その情報がBECに悪用される可能性を考えて警戒を高めるよう勧めています。

国内企業が関係した4つの事例（J-CSIP、2015〜2016年）

IPAがJ-CSIPの情報提供をもとに公開した4件の事例は、国内企業が支払う側、請求する側、親会社の社長のいずれの立場でもBECが起きることを示しています。なお、IPAの資料は公開時点（2017年）で、日本語の偽メールや国内企業同士の被害は確認されていないと記載しており、事例のメールはすべて英語でした。

事例2のように、攻撃者が両方の側になりすまして互いの確認を妨げる型や、事例4のように、社長の指示に加えて法律事務所の担当者という第三者を登場させる型があります。事例3のように、自社が「なりすまされる側」になり、取引先が被害を受ける場合もあります。

出典：IPA「ビジネスメール詐欺「BEC」に関する事例と注意喚起 ～サイバー情報共有イニシアティブ（J-CSIP）の活動より～」（2017年4月3日）https://www.ipa.go.jp/archive/files/000058478.pdf

日本航空（2017年）

2017年12月20日、日本航空が公表した事例では、支払先担当者を装った人物からの請求書に記載された香港の銀行口座へ送金し、合計約3億8,000万円を詐取されました。内訳はボーイング777-300ER型機のリース料約3億6,000万円と、米国拠点の貨物地上業務の委託料約2,400万円です。指定口座は偽のもので、資金の行方は分からないと報じられました。海外口座への送金後は、資金の回収が極めて難しくなることを示す国内の代表例です。

出典：J-CASTニュース（2017年12月20日）https://www.j-cast.com/2017/12/20317156.html

英Arup（香港拠点、2024年）：ビデオ会議でのなりすまし

英エンジニアリング大手Arupの香港拠点で、従業員が英国本社のCFOを名乗るメッセージを受け取り、続いて参加したビデオ会議では、CFOらしき人物と複数の同僚がデジタルで再現されていたと報じられています。従業員は15回に分けて計2億香港ドル相当を送金し、本社に確認して詐欺と分かりました。メールフィルタが効かない型の例であり、メール以外の手段にも「別経路での確認」のルールを広げる必要があることを示しています。

出典：Computing「Deepfake fraud costs engineering giant Arup £20m」https://www.computing.co.uk/news/4209651/deepfake-fraud-costs-engineering-giant-arup-gbp20m

海外の統計：FBI IC3 の報告

FBI IC3の2025年版の報告書では、米国でのBEC苦情は24,768件、報告された損失額は約30.5億ドルで、サイバー犯罪の損失額では投資詐欺に次ぐ2位でした。国内の統計ではありませんが、被害が長く続いている規模を示しています。

出典：FBI IC3「2025 Internet Crime Report」https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf

組織としてのビジネスメール詐欺対策：送金手続き・確認ルール・技術的対策

JPCERT/CC は、BECはIT部門の対策だけでは防ぎにくく、送金を担う経理部門が疑わしい依頼を見抜いて依頼元に確認することが必要だと述べています。IT部門の技術的対策と、経理・営業・法務などの実務を組み合わせ、組織全体の課題として取り組む形です。費用対効果と即効性から、次の順で整えるのが現実的です。

優先度1：送金手続きと確認ルールを決める

警察庁・警視庁・IPAが共通して最も重要な対策に挙げているのが、メール以外の手段での確認と、複数人での承認です。社内規程に落とすときに決めておく項目を、各機関の記載から整理しました。

新規取引の契約を結ぶ段階で起きるBECは、既存の口座と比べて気づく機会がないため、既存取引よりも見極めが難しいという意見がJPCERT/CC の調査にありました。新しい取引先の口座は、契約書など別の資料と突き合わせる運用にしておくと安心です。

優先度2：メールアカウントを乗っ取られないようにする

取引先の正規アカウントから偽メールが送られる場合、その前提には、取引先や自社のメールアカウントの乗っ取りがあります。IPAはインターネットから直接アクセスできるSaaSやメールには多要素認証を必須にし、長く複雑で使い回さないパスワードを組織で徹底するよう求めています。IPAは同じ資料の中で、ワンタイムパスワードまで偽サイトで入力させて多要素認証を突破する「リアルタイムフィッシング」が増えていると注意しており、設定したあとも不審なログインを疑う姿勢が必要です。

警察庁は、メールアカウントへの不正ログインに加えて、外部への転送設定や、普段見ないフォルダへの振り分け設定がないかを調べるよう案内しています。JPCERT/CC の報告書にも、乗っ取られたアカウントには転送設定や受信メールを削除する設定が追加されていることがあると書かれています。定期的な確認項目に入れておく価値があります。

優先度3：受信者に気づかせる仕組みと、なりすまされない対策

最初に、送信ドメイン認証（SPF・DKIM・DMARC）の仕組みを整理します。IPAが「送信元の組織が対策を適切に行っていないと、表示される差出人は偽装できる」と述べているのは、この仕組みのことです。

IPAのJ-CSIP事例には、攻撃者が取得した詐称用ドメインにSPFレコードが設定され、SPF検証がPassする状態だったものがあります。受信側がSPF検証に通ったという結果だけでは、取引先のメールだと判断できません。

総務省の資料は、現在の仕組みでは「認証できたもの＝正規メール」「認証できなかったもの＝詐称メール」と必ずしも言えないとも述べています。転送されたメールやメーリングリスト宛のメールは、正規のメールでも認証に失敗することがあるためです。認証が通っていることは安心材料の1つにとどまり、送金の依頼は別経路で確認するルールが引き続き必要になります。

出典：総務省「特定電子メール等による電子メールの送受信上の支障の防止に資する技術の研究開発及び電子メール通信役務を提供する電気通信事業者によるその導入の状況」（令和4年4月）https://www.soumu.go.jp/main_content/000813789.pdf、警察庁「Cyber Police Agency Letter R5 Vol.11 DMARCでフィッシングメール対策！」https://www.npa.go.jp/bureau/cyber/pdf/Vol.11cpal.pdf

次に、受信者に気づかせる仕組みと、なりすまされないための対策を表にまとめます。

JPCERT/CC の報告書は、BEC対策には「だまされない」対策に加えて「なりすまされない」対策も必要だと述べています。調査では、だまされた側とほぼ同数の組織が、自社の名前や役職員を使われていました。損害を受けた相手から賠償を求められることも考えられるため、メールのログを残しておくことが、自社に過失がないことを示す材料にもなります。

優先度4：教育と、組織内の体制

IPAは、被害を防ぐには情報システムの担当者だけでなく組織の全員が手口を知る必要があるとして、不審メールの教育・研修と訓練を定期的に行い、報告の手順まで演習するよう求めています。JPCERT/CC の調査では、報告先が定まっていなかったり、IT障害の窓口に埋もれたりして、BECに気づけない恐れがあることが指摘されました。IT障害とメールに関する相談先を分けたり、総務・法務・経理・営業とBECの情報を共有する場を設けたりする組織がありました。

内部の事情に詳しい人が関わっている可能性も、報告書は否定していません。決裁金額の上限にきわめて近い請求が繰り返された事案があるためです。情報に触れられる人を必要な範囲に絞る、アクセスの記録を確認するといった内部不正への備えも、対策の一部に入ります。

被害に遭ったら：送金後に最初にやること

偽の口座へ送金してしまったとき、警察庁は次の順で動くよう案内しています。

1. 送金元の銀行に連絡する：速やかに送金のキャンセルや組戻の手続を依頼します。海外の口座が指定されることが多く、一度送金すると回収は非常に困難とされるため、最初の連絡が最優先です。JPCERT/CC は、手続きの中で金融機関から被害の根拠を求められることがあるため、調査結果や保存したメール、ログを準備しておくよう勧めています。

2. 時系列をまとめる：メールが届いた経緯を整理して被害の全体像をつかみます。取引先にも、攻撃者からのメールを受信していないか調査を依頼します。

3. メールとヘッダ情報を保存する：攻撃者から届いたメールとメールヘッダ情報を残します。取引先にもなりすましメールが届いている可能性があるため、同じ保存を依頼します。

4. 原因を調べる：パソコンのウイルスチェックとメールアカウントのパスワード変更を行い、不正アクセス、外部への転送設定、普段見ないフォルダへの振り分け設定がないかを調べます。社員には、不審なメールを開いていないか、パスワードを他のサービスと使い回していないかを聞き取ります。

5. 警察に通報・相談する：攻撃者のメールを持って最寄りの警察署へ行きます。事前に電話で担当者と日時や持参資料を調整すると進めやすくなります。

警察庁は、内部の犯行の可能性もあるため、調査は最小限の関係者で進めるよう注意しています。

自社の立場を確認する：受信した側か、なりすまされた側か

JPCERT/CC は、不正な送金依頼と分かった時点で、まず自組織が「詐欺メールを受信した」立場か、「なりすまされた」立場かを確認するよう整理しています。受信した立場なら、送金の有無を確認し、送金済みなら直ちに金融機関へ取消を依頼します。なりすまされた立場なら、取引先が送金したかどうかにかかわらず、偽メールの送信ドメインが自社で業務上使っているドメインかどうかを確認します。自社のドメインから送られていた場合は、自社のメールアカウントが侵害されている可能性が高く、先に起きた侵害の調査が必要です。

自社になりすましたBECが取引先などからの連絡で分かったときは、同じ試みが広い範囲に行われている可能性があります。報告書は、被害の拡大を防ぐため、送信元メールアドレスや送金先口座（銀行名、支店名、口座番号、口座名義人名）など具体的な情報を、取引先への個別通知やホームページで速やかに伝えることを勧めています。

送金後でも、すぐ動けば資金が戻る可能性がある

FBI IC3の2025年版報告書には、FBIの回収チーム（Recovery Asset Team）が受取口座の凍結を速やかに依頼した結果、オレゴン州の市の機関へ送金された600万ドル超が組み戻された例が記録されています。同チームが2025年に扱った資金凍結の手続き（Financial Fraud Kill Chain）は3,900件で、盗まれそうになった金額は約11.6億ドル、実際に凍結できたのは約6.8億ドル（成功率58%）でした。BECに限らない詐欺全体の数字ですが、IC3は不正な送金を見つけたら直ちに金融機関に連絡して組戻しを依頼するよう求めています。送金の前後を問わず、「誰に・何分以内に連絡するか」を事前に決めておくことが、被害額を左右します。

出典：FBI IC3「2025 Internet Crime Report」https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf

AIメール検知は補助：できることと限界

送金前の確認ルールと運用を固めたうえで、AIを使ったメール検知は入口の段階を補助できます。ただし各段階に限界があるため、導入の判断ではその前提を置く必要があります。

具体例として、トレンドマイクロの「Writing Style DNA」は、経営幹部などの文体を7,000以上の特徴で学習し、なりすましが疑われるメールをその文体と照らし合わせて見つけます。見つけたときは、なりすまされた本人・受信者・IT部門に知らせます（トレンドマイクロの2018年4月17日の発表）。Microsoft Defender for Office 365の「メールボックスインテリジェンス」は、利用者がふだんやり取りする相手とのメールの傾向を学習し、正規の送信者となりすました送信者を見分ける助けにします（Microsoft Learn）。

ただしMicrosoft Learnには、攻撃者がそっくりなドメインを取得して送信ドメイン認証の設定を正しく行えば、SPF・DKIM・DMARCの確認を通過しうると明記されています。判定を厳しくするほど、正常なメールを誤って止める件数も増えます。AIの検知は、送金前の確認ルールを置き換えるものではありません。

メールセキュリティ製品の例：Microsoft Defender for Office 365

メールサービスの機能として検知を補う例に、Microsoftの製品があります。Microsoftの公式ページ（2026年11月2日に確認）には、次の内容が載っています。

出典：Microsoft「Microsoft Defender for Office 365」https://www.microsoft.com/ja-jp/security/business/siem-and-xdr/microsoft-defender-office-365（価格は変わることがあるため、導入前に公式ページで確認してください）。ほかのメールサービスや製品も、機能と料金は各社の公式ページで確認する必要があります。

攻撃者側がAIで本物らしい文面を作る動きは、AIを使った攻撃の被害事例や、AIセキュリティの全体像をたどるAIセキュリティ対策の解説でも追えます。BECの防御では、AIの検知精度よりも、メール以外の経路で確認する手順が守られているかどうかが分かれ目になります。

ほかの侵入の手口と対策

BECは、ほかの手口と組み合わせて使われることが多い攻撃です。たとえばメールアカウントの乗っ取りの前には、フィッシングやブルートフォース攻撃、多要素認証の突破があります。それぞれの手口の仕組みと対策は、次の解説ページに分けてあります。

よくある質問

Q. ビジネスメール詐欺（BEC）とはどのような詐欺ですか？

取引先や経営者になりすました偽メールで従業員をだまし、攻撃者の口座へ送金させる詐欺です。IPAは「取引先との請求書の偽装」と「経営者等へのなりすまし」の2タイプを代表的な手口として挙げています。特定の企業を標的に、メールのやり取りを盗み見るなどしてから実行されることがあるため、文面が自然になります。

Q. ビジネスメール詐欺の対策で、まず何をすればよいですか？

送金や口座変更の依頼を、メールに書かれた連絡先ではなく、名刺やアドレス帳の連絡先に電話などで確認するルールと、複数の担当者で承認する体制を決めます。費用がかからず、警察庁・警視庁・IPAが共通して挙げている対策です。あわせて、メールやSaaSに多要素認証を設定します。

Q. 送金先変更のメールが来たらどう対応すべきですか？

送信元アドレスが本物によく似た偽装でないかを確認したうえで、メール以外の手段で取引先の担当者に確認します。連絡先はメール本文のものを使いません。口座変更の理由がもっともらしくても、確認は省きません（警察庁、JPCERT/CC）。

Q. 国内ではどのくらい被害が出ていますか？

国内全体の被害額を示す公的な統計は、本稿で確認した資料には見当たりませんでした。JPCERT/CC の2020年の調査（12組織117件）では、把握した不正な請求額の合計が日本円換算で約24億円で、被害に遭った事案では数百万〜数千万円規模もありました。2017年には日本航空が約3億8,000万円を詐取された事例が報じられています。

Q. 誤って送金してしまったら何をすべきですか？

直ちに送金元の銀行へ組戻しを依頼します。そのうえで、攻撃メールとヘッダ情報を保存し、最寄りの警察署に通報します。ウイルスチェックとパスワード変更、不正アクセスや外部転送設定の調査も行います。調査は内部関与の可能性を考えて少人数で進めます（警察庁）。

Q. AIでBECを完全に防ぐことはできますか？

できません。AIはメールの文面や送信元の異常を検知する段階では役立ちますが、正規アカウントからの送信やビデオ会議でのなりすましは、メールフィルタの外側にあります。別経路での確認と承認ルールを前提に、AIは補助として使います。

参考文献

• IPA「企業組織を狙う攻撃メールの手口とその対策」（2026年8月3日）
  https://www.ipa.go.jp/security/support/rcu1hd0000019vmo-att/20260803_1.pdf
• IPA「ビジネスメール詐欺（BEC）対策」
  https://www.ipa.go.jp/security/bec/bec_measures.html
• IPA ビジネスメール詐欺（BEC）対策特設ページ
  https://www.ipa.go.jp/security/bec/about.html
• 警察庁「ビジネスメール詐欺（BEC）」
  https://www.npa.go.jp/bureau/cyber/countermeasures/bec.html
• 警視庁「ビジネスメール詐欺」
  https://www.keishicho.metro.tokyo.lg.jp/kurashi/cyber/notes/business_mail.html
• JPCERT/CC「ビジネスメール詐欺の実態調査報告書」（2020年3月25日）
  https://www.jpcert.or.jp/research/20200325_BEC-survey.pdf
• IPA「ビジネスメール詐欺「BEC」に関する事例と注意喚起」（2017年4月3日）
  https://www.ipa.go.jp/archive/files/000058478.pdf
• Microsoft「Microsoft Defender for Office 365」
  https://www.microsoft.com/ja-jp/security/business/siem-and-xdr/microsoft-defender-office-365
• IPA「情報セキュリティ10大脅威 2026」
  https://www.ipa.go.jp/security/10threats/10threats2026.html
• 総務省「特定電子メール等による電子メールの送受信上の支障の防止に資する技術の研究開発及び電子メール通信役務を提供する電気通信事業者によるその導入の状況」（令和4年4月）
  https://www.soumu.go.jp/main_content/000813789.pdf
• 警察庁「Cyber Police Agency Letter R5 Vol.11 DMARCでフィッシングメール対策！」
  https://www.npa.go.jp/bureau/cyber/pdf/Vol.11cpal.pdf
• FBI IC3「2025 Internet Crime Report」
  https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf
• FBI IC3「2024 Internet Crime Report」
  https://www.ic3.gov/AnnualReport/Reports/2024_IC3Report.pdf
• FBI IC3「2021 Internet Crime Report」
  https://www.ic3.gov/AnnualReport/Reports/2021_IC3Report.pdf
• トレンドマイクロ（2018年4月17日発表）Writing Style DNA
  https://www.trendmicro.com/en_au/about/newsroom/press-releases/2018/2018-04-17.html
• Microsoft Learn「Anti-phishing policies in Microsoft Defender for Office 365」
  https://learn.microsoft.com/en-us/defender-office-365/anti-phishing-policies-about
• J-CASTニュース（2017年12月20日）JAL報道
  https://www.j-cast.com/2017/12/20317156.html
• Computing「Deepfake fraud costs engineering giant Arup £20m」（報道による）
  https://www.computing.co.uk/news/4209651/deepfake-fraud-costs-engineering-giant-arup-gbp20m