従業員12人の建築設計事務所の経理担当者のもとに、経営パートナーから届いたように見えるメールが届く。「今日中に4万7,000ドルを新しい取引先口座へ送金してほしい、急ぎだ、許可手数料の支払いを締め切るところだ」という内容だ。彼女はその通りに送金する。20分後、本物のパートナーが彼女のデスクの前を通りかかり、許可手数料がまだ支払われていない理由を尋ねる。お金はすでに消えていた。他州の口座に送金され、1時間以内に暗号資産に変換されていた。彼女は銀行に電話をかけ、もし自分の個人用デビットカードがガソリンスタンドで不正利用された場合と同じような保護を受けられると思っていた。しかしビジネスの電信送金には、そのような保護は存在しない——そしてその法的な理由を、ほとんどの中小企業経営者は聞いたことがないのだ。
消費者には、電子資金振替法（EFTA）を実施する連邦規則であるレギュレーションEがある。これは不正な送金に対する消費者の賠償責任に上限を設け、銀行に対して調査中も係争中の金額を仮に入金するよう義務付けている。しかし事業者にはそれがない。商業目的の電信送金は、それとは異なる、より古く、はるかに厳しい法体系——統一商事法典（UCC）第4A編によって規律されている。この二つの違いを理解すること、そして実際に賠償責任を銀行側へ転嫁するために何が必要なのかを知ることが、不正送金を取り戻せるか、それとも損失をそのまま被るかの分かれ目になる。
なぜレギュレーションEはここでは適用されないのか
レギュレーションEの保護は、すべて「消費者」という一つの言葉を中心に組み立てられている。この規則が対象とするのは、個人の当座預金口座、個人の普通預金口座など、主に個人・家族・家計目的で使用される消費者資産口座に関わる電子資金移動だ。口座が事業用口座であり、かつ資金移動が電信送金である場合、EFTAとレギュレーションEは完全に適用対象外となり、代わりにUCC第4A編が適用される。
第4A編は、企業間で毎日数兆ドルもの資金を動かすFedwire、CHIPS、そしてコルレス銀行ネットワークという商業資金移動システムのために特別に書かれたものだ。適用対象は商業目的の支払指図に限られており、意図的な政策上のトレードオフのもとで起草されている。電信送金は膨大な金額をほぼ瞬時に動かし、銀行システムにとって取引の確定性が極めて重要であるため、この法律は消費者法が個人に課すよりも多くの詐欺防止の負担を事業顧客に課している。チャージバック（取消請求）の権利はない。係争中の仮入金の義務もない。事業者が不正送金に対してどこまで責任を負うかについての規制上の上限も存在しない。
誰が損失を被るかを決めるルール
第4A編の中核となる賠償責任条項——しばしばUCC § 4A-202として引用される——は、条文上は中立的に見えるが、実務上は容赦がない。銀行とその事業顧客が、送金指図を承認するためのセキュリティ手続きについて事前に合意しており、その手続きが「商業的に合理的」であり、かつ銀行がその不正な送金を処理する際に誠実にその手続きに従っていた場合、損失は顧客側が負うことになる——たとえその送金が実際には会社の誰からも承認されていなかったとしてもだ。
唯一の抜け道は、顧客がその事業とはまったく無関係な人物によって詐欺が行われたことを証明できれば、責任を免れられるという点だ——従業員の認証情報の侵害もなく、内部者の関与もなく、会社自身のシステムや人員に由来するものが一切ないことを示す必要がある。ビジネスメール詐欺（BEC）の場合、これを証明するのは通常不可能だ。なぜならこの詐欺は、まさに会社内部の何か（従業員の受信箱、取引先との関係、経営幹部のいつもの連絡スタイルなど）を侵害あるいはなりすますことによって成立するものだからだ。法律は基本的に、銀行が自らの義務を果たしており、侵害が顧客の周辺のどこかで起きたのであれば、顧客が損失を負うべきだという前提に立っている。
「商業的に合理的」とは実際には何を意味するのか
電信送金詐欺による損失をめぐって争うすべての事業経営者が理解しておくべきフレーズがこれだ。なぜなら、この一語こそが争いのすべてだからだ。裁判所は、銀行のセキュリティ手続きが利用可能な最善の技術だったかどうかを問うのではない。その特定の顧客の取引パターン、銀行が実際に提供していたセキュリティの選択肢、そして同様の立場にある銀行や顧客が何を使っているかに照らして、それが合理的だったかどうかを問うのだ。
代表的な判例であるPatco Construction Co. v. People's United Bank（第1巡回区控訴裁判所、2012年）は、概略だけでも知っておく価値がある。ある建設会社のオンラインバンキングの認証情報が侵害され、銀行のシステムは——取引を異常として検知できるツールを備えていたにもかかわらず——その顧客の通常の取引額やパターンに関わらず、すべての顧客に対して同じ画一的で摩擦の少ないセキュリティ手続きを適用していたために、一連の不正送金を承認してしまった。第1巡回区控訴裁判所は、銀行の手続きが商業的に合理的ではなかったと判断した。その理由は、画一的なアプローチが、セキュリティは特定の顧客の状況に照らして評価されなければならないという第4A編の要件を満たしていないからだ——「何らかの認証方法が使われていたか」だけでなく、「その顧客が普段行っていることに対して、適切な水準の摩擦だったか」が問われるのだ。
この実務上の教訓は両方向に効いてくる。もし銀行がより強固な認証手段——二重承認、コールバック確認、取引限度額アラート、新規受取人に対する帯域外確認など——を提供していたにもかかわらず、利便性を理由にそれを断っていた場合、後に詐欺被害に遭って銀行の手続きが不十分だったと主張しようとしても、その判断はあなたの立場を弱めることになる。銀行が提供するオプションのセキュリティ層をすべて受け入れている企業は、いずれ4A-202をめぐる争いを戦うことになった場合に必要となる記録を、今のうちから積み上げているのだ。
ほとんどの請求を提出前に葬り去る期限
たとえ正当で立証可能な詐欺の請求であっても、些細な手続き上の問題で潰れてしまうことがある。第4A編は、顧客に通知から最長1年以内に送金を争う権利を認めているが、これは当事者間の合意によって短縮できるデフォルトのルールにすぎない——そして、ほとんどの銀行の送金契約は実際に短縮しており、一般的には30日または60日とされている。この期限を逃せば、その取引がいかに明白に無許可のものであっても、確定してしまう。
これは法律の問題であると同時に、記帳や社内プロセスの問題でもある。銀行口座の照合を週次や日次ではなく月次で行っている事業は、明細書上の不正送金に誰も気づかないうちに、30日間の契約上の通知期限をあっさり使い切ってしまいかねない。照合の頻度は、単なる正確性を保つための作業ではなく、詐欺に対する賠償責任のコントロールそのものだ——不一致が早く表面化するほど、それを取り戻すために使える法的選択肢は多く残る。
ほとんどのBEC被害の裏にある口座番号の罠
第4A編のある条項が、ビジネスメール詐欺の手口がなぜこれほど効果的で、取り戻すのがなぜこれほど難しいのかを説明している。送金指図に受取人名と口座番号の両方が記載されており、受取側でその二つが実際には一致していない場合、受取銀行は法的に口座番号のみを根拠に処理することが認められている——名前が口座と一致しているかを確認する義務はないのだ。詐欺師はこれを常に悪用する。なりすましメールは本物の取引先の名前を示しながら不正な口座番号を記載し、送金は正当に見える名前のもとで送られ、攻撃者が管理する口座に着金する。受取銀行は法律上何も違反していないため、それに対してできることはほとんどなく、争いは結局、送金元の銀行のセキュリティ手続きがそもそも商業的に合理的だったかどうかに戻ってくる。
FBIのインターネット犯罪苦情センター（IC3）は、2025年にビジネスメール詐欺の苦情を24,768件記録し、報告された被害額は30億5,000万ドルに上った——前年の27億7,000万ドルから増加している。そのうち86%の不正な支払いが電信送金またはACH経由で移動しており、つまり上流のあらゆる銀行の管理をアラートを発することなく通過したことになる。この被害規模がこれほど大きいのは、まさに資金が一度動いてしまうと、法的枠組みが電信送金詐欺の回収をこれほどまでに困難にしているからにほかならない。
これが電信送金の記帳と管理にどう影響するか
法律がプロセスをこれほど重視している以上、誰が送金を開始できるか、そしてそれがどのように確認されるかをめぐる社内統制は、単なる業務上のベストプラクティスではない——それは4A-202をめぐる争いで必要となる証拠そのものだ。ほとんどの経営者が思っている以上に重要な実践がいくつかある。
- 銀行が提供するあらゆる認証層を利用すること。多少不便であっても、だ。スピードを優先してより強固なセキュリティを断ることは、後の詐欺請求を最も一貫して弱体化させる単一の事実パターンだ。
- 新規の受取人や既存受取人の銀行情報の変更には、必ず二重承認を義務付けること。確認はメール以外のチャネルで行う——それも、疑わしいメッセージ自体に記載された番号ではなく、既知の番号への電話で確認する。
- 定期的に電信送金を行う事業であれば、銀行口座の照合を最低でも週次で行うこと。30日間の契約上の通知期限は月次決算の問題ではない——サイクルの早い段階で詐欺が起きれば、それは月の半ばの問題になる。
- すべての送金承認の判断について、日付付きの明確な記録を残すこと——誰が承認したか、どのチャネルを通じたか、どのような確認に基づいたか。もし争いが「銀行の手続きは商業的に合理的だったか、そしてあなた自身が合意したプロセスに従っていたか」という点に行き着いた場合、明確な記録を持つ事業には勝ち目があるが、何も持たない事業にはない。
整理され、適切にタグ付けされた取引記録が重要なのには、もっと地味な理由もある。ある送金がいつ、どの口座から送られ、どの請求書と照合されたのかを正確に把握していることこそが、経理担当者が数週間ではなく数日で異常に気づけるようにする鍵なのだ。Beancount.ioのプレーンテキストでバージョン管理された元帳は、送金を含むすべての取引を、月次の銀行明細書PDFに埋もれた一行ではなく、日付付きで監査可能なエントリーにする。これはまさに、「詐欺が発生した」瞬間と「それに気づいた」瞬間の間の時間を縮める類の可視性だ。無料で始めることで、契約上の通知期限が問題解決の扉を閉ざしてしまう前に、問題を発見できるだけの精度で財務記録を保てるようになる。