ある従業員が、給与代行業者から送られてきたように見えるメールを受け取る。ロゴは本物そっくり、文面のトーンも申し分ない。会社のHRポータルがベンダーを変更したため、今日中に直接入金情報を再確認する必要がある、と書かれている。従業員はリンクをクリックし、偽のページに本物の認証情報を入力してログインする。そして給与サイクル2回分が過ぎた頃、給与は見覚えのない口座に振り込まれるようになっている。
このシナリオは今や珍しくないほど広まり、IRSは2026年版の「ダーティ・ダズン」――個人と企業に最も大きな被害を与えている税務詐欺の年次リスト――にこれを加えた。今年もフィッシングとなりすましがリストのトップに立つが、新しいのはその標的だ。個人の納税申告だけでなく、給与およびHRシステムそのものが狙われている。
たとえ数人分の給与しか処理していなくても、これは5分の時間を割く価値がある話だ。この詐欺は実行コストが低く、資金が動いてしまえば取り戻すのが難しく、しかも中小企業が最も依存しているシステムを正面から狙っている。
この詐欺は実際どう機能するのか
従来のIRSなりすまし詐欺は、個人の納税者に偽の税金請求書を突きつけて恐怖心を煽ろうとする。給与を狙う変種はもっと静かで、辛抱強い。あなたを脅す代わりに、あなたがすでに信頼している人物――給与担当者、人事担当者、あるいは会社の役員――になりすまし、ごく日常的な事務作業のように聞こえる依頼をしてくる。
最もよく見られるパターンは次の通りだ。
- 偽のW-2やポータル通知。 メールで「給与システムに新しい書類が届いている」「パスワードの再設定が必要」などと主張し、もっともらしいが実は不正なログインページに誘導して本物の認証情報を奪う。
- 一括データの要求。 会社役員になりすました人物が人事部や給与担当にメールを送り、従業員の氏名、社会保障番号、W-2情報のスプレッドシートを要求する――こうした依頼がもっともらしく見える確定申告シーズン前後を狙うことが多い。
- 直接入金の変更依頼。 従業員本人から、あるいは乗っ取られたアカウント経由で送られたように装ったメールで、「次の給与処理の前に」銀行の支店コードと口座番号を更新するよう給与担当に依頼する。通常の確認手順を経ずに処理してしまうと、次の給与はそのまま詐欺師の手に渡る。
攻撃者がログイン認証情報や従業員データを手に入れれば、直接入金の振込先を変更したり、盗んだ社会保障番号で不正な税務申告を行ったり、データをそのまま売却したりできる。これらはいずれもシステムへの不正侵入を必要としない――必要なのは、たった一人の従業員が一通のメールを信じてしまうことだけだ。
なぜ給与はこれほど魅力的な標的なのか
これは単なる勘ではなく、数字にも表れている。FBIのインターネット犯罪苦情センター(IC3)は、ビジネスメール詐欺(BEC)――請求書詐欺や役員なりすましと並んで給与振込先変更詐欺を含む包括的なカテゴリー――を追跡している。2025年版のインターネット犯罪報告書で、IC3は24,768件のBEC申告、被害総額はおよそ30億5000万ドルを記録した。これは前年の27億7000万ドルからの増加である。重要なのは、BEC被害の86%が電信送金またはACH経由で移動したという点だ。これはまさに給与の直接入金が使うのと同じ決済網であり、だからこそこうした手口は素早く実行され、資金が口座を離れてしまえば取り戻せることがほとんどない理由でもある。
給与振込先変更詐欺は特に、犯罪者が有効な手口を一度見つけると急速に拡大してきた実績がある。IC3の以前の勧告によれば、給与振込先変更詐欺による申告被害額は18か月で815%増加した。詐欺グループは、一度うまくいった振込先変更が誰にも気づかれずに1回分、あるいはそれ以上の給与サイクルにわたって続けられることに気づいたのだ――単発の請求書詐欺よりもはるかに効率が良い。
給与がこれほど脆弱な標的になる構造的な理由はいくつかある。
- 情報がすでに半ば公開されている。 役職名、部署名、組織図はLinkedInや会社のウェブサイトで簡単に調べられるため、詐欺師はありきたりなメールではなく、具体的で信憑性のあるメールを書くことができる。
- 依頼内容が日常的に聞こえる。 「直接入金の情報を更新してほしい」というのは給与担当が常時対応している依頼であり、見慣れないベンダーへの電信送金依頼のように自動的に疑いを招くことがない。
- 若年層や高所得層の従業員が不釣り合いに狙われやすい。 セルフサービスポータルであらゆる手続きを済ませることに慣れた従業員は、ポータル風の偽装フィッシングページを信じやすい。また、ボーナスや株式報酬、複数口座など給与が複雑な従業員は、より価値の高い標的になりやすい。
なぜこの一群が2026年版リストに特に加わったのか
「ダーティ・ダズン」は固定リストではない。IRSは詐欺師の間で実際に効果を上げている手口を踏まえて毎年構成を見直しており、今年版ではフォーム2439の未分配キャピタルゲインに絡む不正請求が、いつものQRコードフィッシングや幽霊税務代理人の項目と並んで新たに加わった。長年続くこうした詐欺と同列で給与標的型フィッシングが名指しされたことは、重く受け止めるべきシグナルだ。IRSおよびその協力金融機関がこのパターンを十分な頻度と金額規模で確認しており、確定申告シーズン以外でも公に警告を発する必要があると判断したことを意味する。
現在、二つの動きが重なって事態を悪化させている。第一に、生成AIによって、実在する上司の名前や実際の社内プロセスを踏まえた、誤字のない完璧なフィッシングメールを作成することが容易になった。かつては「文法の誤りを確認する」訓練で見抜けていたような不審なメッセージが、今では正規のメールと見分けがつかなくなっている。第二に、給与・人事ソフトウェアのベンダーはここ数年で実際にプラットフォームを乗り換える頻度が増えており、「御社は給与代行業者を変更したので、口座情報を再確認してください」というメールが不審ではなくもっともらしく映るようになった。詐欺師は新しい嘘を作り出しているわけではなく、企業の実際の運営動向という本物のトレンドに乗っているだけなのだ。
専門家が指摘する警戒サイン
この種の手口を研究するセキュリティ研究者たちが繰り返し立ち返るのは、次の3つのキーワードだ。緊急性、不自然な依頼、そしてプロセスの変更。 給与や人事に関する連絡が、タイトな締め切りと通常の確認手順を飛ばす依頼を組み合わせている場合は、送信者名がどれほど正当に見えても、必ずもう一度確認すべきだ。
具体的には、次のような点を警戒サインとして扱うべきである。
- 直接入金の変更依頼がメールのみで届き、電話や対面での確認がない
- 通常の給与締め切りスケジュール外で「今日中に」「次の給与処理の前に」といった圧力をかけてくる
- 従業員の税務情報や口座情報の一括エクスポートを、特に役員権限を主張する人物から要求される
- 給与ポータルへのログインページが、普段ブックマークしている、あるいは直接入力しているURLと一致しない
会社を守るための方法
対策は特別なものではない――どれほど正当に見える依頼であっても、一貫して適用されるプロセス上の規律だ。
- 直接入金の変更にはすべて第二の確認手段を必須にする。 既知の電話番号への折り返しや対面での確認は、フィッシングページが完全に模倣できてしまう「メールのみのワークフロー」という最大の穴を塞ぐ。
- 上記3つの警戒サインを従業員に認識させるトレーニングを行う。 単に「不審なリンクをクリックしない」と教えるだけでは不十分だ。一般的なフィッシング研修では、自分の所属する人事部から届いたように見えるメールへの備えにはならない。
- IRS関連と疑われるフィッシングは
[email protected]へ報告する。 すでに資金が動いてしまった場合はic3.govでIC3への申告も行うこと。銀行への通報が早いほど、ACH送金が確定する前に資金を取り戻せる可能性が高まる。 - 給与変更を承認できる人物を制限する。 給与ソフトウェアが承認ワークフローや口座情報変更時の二重承認をサポートしているなら、それを有効にする。単一障害点こそ、この種の詐欺が突こうとしている弱点だ。
- 給与へのアクセス権限リストを定期的に監査する。 退職者のアカウント、古いベンダーのログイン情報、共有された認証情報はいずれも、新規のハッキングよりも侵入しやすい経路であり、また思われている以上に簡単に塞ぐことができる。
すでに被害に遭ってしまった場合:最初の72時間
給与の振込先が変更されてしまった、あるいは給与データがすでに攻撃者に送信されてしまった場合、このリストの中で何よりも重要なのはスピードだ。
- 直ちに受取銀行と送金銀行に連絡する。 ACH送金は、取引が確定してから一定の短い期間内であれば取り消しや凍結が可能な場合がある――ただしその猶予は数週間ではなく、数時間から数日単位だ。正式なインシデントレポートの作成を待ってから連絡するようなことはしないこと。
- 侵害されたアカウントや認証情報をただちにロックする。 従業員が偽のページに給与ポータルのログイン情報を入力してしまった場合は、そのパスワードと、同じパスワードを使い回している他のアカウントもすべてリセットする。また、不正なメール転送ルールが設定されていないか確認する――これは給与変更依頼が送信される前に受信箱が静かに乗っ取られていたことを示す典型的な兆候だ。
- IC3への申告とIRSへの通知を行う。
[email protected]への報告に加え、従業員データが漏洩した企業はIRSのデータ侵害報告に関するガイダンスも確認すべきだ。盗まれた社会保障番号は、直後だけでなく数か月後になって不正な税務申告に悪用されることがあるためだ。 - 影響を受けた従業員には、直接連絡する。 侵害された可能性のある同じ連絡経路だけに頼ってはいけない。個人情報が漏洩した場合、従業員自身が不正利用アラートやクレジットフリーズを設定する必要があるかもしれない。
- すべてを帳簿に記録する。 取り消された取引、影響を受けた従業員への補填支払い、回収できた資金は、いずれも正確に記録する必要がある。きちんと突き合わせが済んでいない詐欺インシデントは、数か月後に説明のつかない不一致として再浮上しがちだ。
どんな事態にも備えられる財務記録を
給与詐欺は単なるサイバーセキュリティの問題ではない――発生した瞬間から、それは帳簿の問題になる。給与の振込先が変更されてしまった場合、何が、いつ、誰の承認で変わったのかを正確に把握するには、すべての給与処理についてタイムスタンプ付きの明快な記録が必要だ。Beancount.ioはプレーンテキスト会計を提供し、あらゆる取引について完全にバージョン管理された監査可能な記録を残す――ブラックボックスも、ベンダーロックインも、何かがおかしくなる前の帳簿がどうだったかを推測する必要もない。無料で始める、そしてなぜ開発者や財務の専門家がプレーンテキスト会計へ移行しているのかを確かめてほしい。